SC-084：带 ACME 账户标签的 DNS 验证方法

SC-084 让多家服务可以同时通过 DNS 验证同一个域名。它新增的验证方法和 ACME DNS-01 类似，只是在 _acme-challenge 前面再加一个账户专属标签，于是每个 ACME 账户（也就是每家云服务商）都有自己独立的验证名称。

改了什么

SC-084 让每个 ACME 账户都有可单独委托的 DNS 验证名称。dns-01 的 TXT 记录永远放在 _acme-challenge.<域名>。云服务商和 CDN 通常让你把这个名称 CNAME 到它们那里来实现自动验证，可一个名称只能有一条 CNAME，所以同一时间只能有一家服务商这么做。投票文本描述的正是同时使用多家云的企业遇到的这个问题。新方法基于 IETF 草案 draft-ietf-acme-dns-account-label，用 ACME 账户 ID 计算出这个额外标签加在前面。提案来自 Fastly，Mozilla、DigiCert、微软和 Chrome 附议。

生效日期

基线要求修改于 2025-03-01 生效，此后 CA 可以提供这种方法，它并不取代 dns-01。投票说明目前引用的是草案，草案发布为 RFC 后会另行投票更新。

影响谁

SC-084 帮到的是同一个主机名同时挂在多家 CDN、负载均衡或托管服务后面，而且每家都想自动申请自己证书的企业。比如国内常见的“国内用一家云的 CDN、海外用另一家 CDN”的架构，各家都要求把 _acme-challenge CNAME 给自己时就会冲突。只用一家服务商的网站不受任何影响。

该怎么做

没遇到“只能有一条 CNAME”的冲突就什么都不用做。遇到了，就问问 CA 和服务商是否支持这种带账户标签的方法；ACME 客户端和 CA 的支持情况取决于草案的实现进度。原理见 ACME 协议详解。