CA/B 论坛投票 · SC-085v2
SC-085v2：CA 查询 CAA 和验证域名时必须校验 DNSSEC
详细信息
- 投票
- SC-085v2
- 标题
- Require Validation of DNSSEC (when present) for CAA and DCV Lookups
- 状态
- 通过
- 日期
- 2025-06-18
- 通过
- 生效
- BR 版本
- 2.1.6
- 官方页面
- cabforum.org
关键日期
- CAA 查询和域名验证的 DNS 查询必须校验 DNSSEC（主视角）
SC-085v2 要求 CA 校验 DNSSEC：从 2026-03-15 起，如果域名启用了 DNSSEC，公开受信任的 CA 在查询 CAA 记录和为域名验证做 DNS 查询时，必须校验签名；校验失败就不能签发证书。
改了什么
SC-085v2 把 CA 校验 DNSSEC 从可选改为强制。它在基线要求里加入了针对 CA 主网络视角的规定：域名验证（§3.2.2.4）和 CAA 查询（§4.2.2.2）的 DNS 查询必须做 DNSSEC 校验；不能用本地策略关掉；SERVFAIL 之类的 DNSSEC 错误不能被理解成“没有 CAA 记录，可以签”。投票的理由是：经过校验的 DNSSEC 能降低针对 CA 的 DNS 欺骗风险，也让域名所有者有办法让验证过程在密码学上可证明安全。
生效日期
基线要求文本于 2025-07-21 生效，具体义务从 2026-03-15 起执行。
影响谁
SC-085v2 只影响启用了 DNSSEC 的域名，投票文本说这在 TLS 证书涉及的域名里占比很小。对这些域名来说，DNSSEC 配置出错（签名过期、更换 DNS 服务商后注册商处还留着旧的 DS 记录）以前会被 CA 忽略，现在会直接导致证书签发和续期失败。国内常见的情况是：在注册商开启了 DNSSEC，后来把解析从 DNSPod 迁到阿里云 DNS（或反过来）时忘了更新 DS 记录。
该怎么做
用了 DNSSEC 就要监控它：每次更换 DNS 服务商后检查注册商处的 DS 记录和签名，用支持校验的解析器测试。如果续期报 DNS 或 CAA 相关错误，先查 DNSSEC。建议同时配置 CAA，并了解 SC-098v2：它要求 CA 遵守 CAA 里的账户和验证方法限制。