# SC-085v2：CA 查询 CAA 和验证域名时必须校验 DNSSEC

> SC-085v2 要求 CA 从 2026-03-15 起，对启用 DNSSEC 的域名，在查询 CAA 和做 DNS 域名验证时校验 DNSSEC 签名。

Source: https://ssl.sh/zh/ballots/sc-085/
Last updated: 2026-11-10

SC-085v2 要求 CA 校验 DNSSEC：从 2026-03-15 起，如果域名启用了 DNSSEC，公开受信任的 CA 在查询 [CAA](https://ssl.sh/zh/glossary/caa/) 记录和为域名验证做 DNS 查询时，必须校验签名；校验失败就不能签发证书。

## 改了什么

SC-085v2 把 CA 校验 DNSSEC 从可选改为强制。它在[基线要求](https://ssl.sh/zh/glossary/baseline-requirements/)里加入了针对 CA 主网络视角的规定：域名验证（§3.2.2.4）和 CAA 查询（§4.2.2.2）的 DNS 查询必须做 DNSSEC 校验；不能用本地策略关掉；SERVFAIL 之类的 DNSSEC 错误不能被理解成“没有 CAA 记录，可以签”。投票的理由是：经过校验的 DNSSEC 能降低针对 CA 的 DNS 欺骗风险，也让域名所有者有办法让验证过程在密码学上可证明安全。

## 生效日期

基线要求文本于 2025-07-21 生效，具体义务从 2026-03-15 起执行。

## 影响谁

SC-085v2 只影响启用了 DNSSEC 的域名，投票文本说这在 TLS 证书涉及的域名里占比很小。对这些域名来说，DNSSEC 配置出错（签名过期、更换 DNS 服务商后注册商处还留着旧的 DS 记录）以前会被 CA 忽略，现在会直接导致证书签发和续期失败。国内常见的情况是：在注册商开启了 DNSSEC，后来把解析从 DNSPod 迁到阿里云 DNS（或反过来）时忘了更新 DS 记录。

## 该怎么做

用了 DNSSEC 就要监控它：每次更换 DNS 服务商后检查注册商处的 DS 记录和签名，用支持校验的解析器测试。如果续期报 DNS 或 CAA 相关错误，先查 DNSSEC。建议同时配置 CAA，并了解 [SC-098v2](https://ssl.sh/zh/ballots/sc-098/)：它要求 CA 遵守 CAA 里的账户和验证方法限制。


| 字段 | 值 |
|---|---|
| 投票 | SC-085v2 |
| 状态 | 通过 |
| 通过 | 2025-06-19 |
| 生效 | 2025-07-21 |
| BR 版本 | 2.1.6 |
| 官方页面 | https://cabforum.org/2025/06/18/ballot-sc-085v2-require-validation-of-dnssec-when-present-for-caa-and-dcv-lookups/ |