# SC-084：带 ACME 账户标签的 DNS 验证方法

> SC-084 新增一种类似 ACME dns-01 的验证方法，在验证域名前加入账户专属标签，让多家服务商能各自通过 CNAME 验证同一个域名。

Source: https://ssl.sh/zh/ballots/sc-084/
Last updated: 2026-11-10

SC-084 让多家服务可以同时通过 DNS 验证同一个域名。它新增的验证方法和 ACME [DNS-01](https://ssl.sh/zh/glossary/dns-01/) 类似，只是在 `_acme-challenge` 前面再加一个账户专属标签，于是每个 ACME 账户（也就是每家云服务商）都有自己独立的验证名称。

## 改了什么

SC-084 让每个 ACME 账户都有可单独委托的 DNS 验证名称。dns-01 的 TXT 记录永远放在 `_acme-challenge.<域名>`。云服务商和 CDN 通常让你把这个名称 CNAME 到它们那里来实现自动验证，可一个名称只能有一条 CNAME，所以同一时间只能有一家服务商这么做。投票文本描述的正是同时使用多家云的企业遇到的这个问题。新方法基于 IETF 草案 draft-ietf-acme-dns-account-label，用 ACME 账户 ID 计算出这个额外标签加在前面。提案来自 Fastly，Mozilla、DigiCert、微软和 Chrome 附议。

## 生效日期

基线要求修改于 2025-03-01 生效，此后 CA 可以提供这种方法，它并不取代 dns-01。投票说明目前引用的是草案，草案发布为 RFC 后会另行投票更新。

## 影响谁

SC-084 帮到的是同一个主机名同时挂在多家 CDN、负载均衡或托管服务后面，而且每家都想自动申请自己证书的企业。比如国内常见的“国内用一家云的 CDN、海外用另一家 CDN”的架构，各家都要求把 `_acme-challenge` CNAME 给自己时就会冲突。只用一家服务商的网站不受任何影响。

## 该怎么做

没遇到“只能有一条 CNAME”的冲突就什么都不用做。遇到了，就问问 CA 和服务商是否支持这种带账户标签的方法；ACME 客户端和 CA 的支持情况取决于草案的实现进度。原理见 [ACME 协议详解](https://ssl.sh/zh/learn/acme-protocol/)。


| 字段 | 值 |
|---|---|
| 投票 | SC-084 |
| 状态 | 通过 |
| 通过 | 2025-01-28 |
| 生效 | 2025-03-01 |
| BR 版本 | 2.1.4 |
| 官方页面 | https://cabforum.org/2025/01/28/ballot-sc084-dns-labeled-with-acme-account-id-validation-method/ |