SC-086v3：不再为 in-addr.arpa、ip6.arpa 签发证书

SC-086v3 禁止为反向解析名称签发证书：从 2026-03-15 起，公开受信任的 CA 不能再为 10.113.0.203.in-addr.arpa 这类名称或 ip6.arpa 下的任何名称签发 TLS 证书。这两个区是把 IP 地址反查回域名用的反向解析区。

改了什么

SC-086v3 在基线要求 §4.2.2 增加了一条：CA 不得签发包含以“IP 反向解析区后缀”结尾的域名的证书。投票文本解释说，in-addr.arpa 和 ip6.arpa 是互联网基础设施的一部分，并不打算承载主机名，因此给它们签发证书不合适。提案来自 DigiCert，Apple 和 Opera 附议。

生效日期

基线要求修改于 2025-12-15 生效，禁止签发的规定从 2026-03-15 起执行。

影响谁

SC-086v3 几乎不影响普通网站。受影响的是把反向解析名称写进使用者可选名称（SAN）的少数场景，比如某些网络设备或邮件系统的配置。直接给 IP 地址签证书（SAN 里写 IP 地址）是另一回事，按 §3.2.2.5 的 IP 验证方法仍然可以。

该怎么做

在证书清单里搜一下 SAN 以 .in-addr.arpa 或 .ip6.arpa 结尾的证书，在到期前换成普通主机名或 IP 地址 SAN 的证书；含这些名称的续期申请会被 CA 直接拒绝。可以用证书透明度日志按域名后缀检索，确认自己名下没有遗漏。