CA/B 论坛投票 · SC-081v3
SC-081v3：证书有效期 2029 年降到 47 天
详细信息
- 投票
- SC-081v3
- 标题
- Introduce Schedule of Reducing Validity and Data Reuse Periods
- 状态
- 通过
- 日期
- 2025-04-11
- 通过
- 生效
- BR 版本
- 2.1.5
- 官方页面
- cabforum.org
关键日期
- 最长有效期 200 天；域名/IP 验证复用 200 天；主体身份信息复用 398 天
- 最长有效期 100 天；域名/IP 验证复用 100 天
- 最长有效期 47 天；域名/IP 验证复用 10 天
SC-081v3 终结了“一年一换”的 TLS 证书。它规定公开受信任证书的最长有效期在 2026-03-15 从 398 天降到 200 天，2027-03-15 降到 100 天，2029-03-15 降到 47 天；CA 复用域名验证结果的期限到 2029 年只剩 10 天。
改了什么
SC-081v3 改写了基线要求里的两处：证书最长有效期（§6.3.2）和验证数据复用期（§4.2.1）。此前证书最长 398 天，域名和 IP 验证可复用 398 天，组织信息可复用 825 天。提案人来自 Apple，Sectigo、Google Chrome 和 Mozilla 附议。投票文本给出的理由是：有效期越短，误签或私钥泄露的证书能被滥用的时间越短，也会推动所有人实现自动化。
生效日期
SC-081v3 按证书签发日期分三步收紧这两项上限：
| 签发日期 | 最长有效期 | 域名/IP 验证复用期 |
|---|---|---|
| 2026-03-14 及以前 | 398 天 | 398 天 |
| 2026-03-15 起 | 200 天 | 200 天 |
| 2027-03-15 起 | 100 天 | 100 天 |
| 2029-03-15 起 | 47 天 | 10 天 |
OV、EV 证书里的组织信息从 2026-03-15 起最多复用 398 天。截至 2026 年 11 月，第一步已经生效。
影响谁
所有公开受信任的 TLS 服务器证书都受约束，不分 DV、OV、EV，也不分免费还是付费。已签发的证书按原到期日失效，新规则按签发日期算；企业内网自建 CA 不受影响。受冲击最大的是手动换证书的网站：在阿里云、腾讯云等控制台下载证书再手动上传到服务器、CDN 或负载均衡的做法，到 2027 年后差不多每三个月就要做一次，2029 年后每个月都要做。已经用 ACME 自动续期（acme.sh、certbot、宝塔面板的 Let's Encrypt 功能）且大约 60 天续一次的网站，在 47 天这一步之前基本没有影响。
该怎么做
现在就把续期自动化：用 acme.sh、certbot 或云厂商的托管证书，并确认续期脚本会重载 Nginx/Apache；再配一个到期监控兜底。2029 年起域名验证只能复用 10 天，最好选能被脚本反复执行的验证方式，比如用 DNSPod、阿里云 DNS 等提供 API 的服务商做 DNS-01 验证。从 5 年到 47 天的完整历程见证书有效期时间线。