# SC-086v3：不再为 in-addr.arpa、ip6.arpa 签发证书

> SC-086v3 规定从 2026-03-15 起，公开受信任 CA 不得为反向解析区 in-addr.arpa 和 ip6.arpa 下的域名签发 TLS 证书。

Source: https://ssl.sh/zh/ballots/sc-086/
Last updated: 2026-11-10

SC-086v3 禁止为反向解析名称签发证书：从 2026-03-15 起，公开受信任的 CA 不能再为 `10.113.0.203.in-addr.arpa` 这类名称或 `ip6.arpa` 下的任何名称签发 TLS 证书。这两个区是把 IP 地址反查回域名用的反向解析区。

## 改了什么

SC-086v3 在[基线要求](https://ssl.sh/zh/glossary/baseline-requirements/) §4.2.2 增加了一条：CA 不得签发包含以“IP 反向解析区后缀”结尾的域名的证书。投票文本解释说，in-addr.arpa 和 ip6.arpa 是互联网基础设施的一部分，并不打算承载主机名，因此给它们签发证书不合适。提案来自 DigiCert，Apple 和 Opera 附议。

## 生效日期

基线要求修改于 2025-12-15 生效，禁止签发的规定从 2026-03-15 起执行。

## 影响谁

SC-086v3 几乎不影响普通网站。受影响的是把反向解析名称写进[使用者可选名称（SAN）](https://ssl.sh/zh/glossary/san/)的少数场景，比如某些网络设备或邮件系统的配置。直接给 IP 地址签证书（SAN 里写 IP 地址）是另一回事，按 §3.2.2.5 的 IP 验证方法仍然可以。

## 该怎么做

在证书清单里搜一下 SAN 以 `.in-addr.arpa` 或 `.ip6.arpa` 结尾的证书，在到期前换成普通主机名或 IP 地址 SAN 的证书；含这些名称的续期申请会被 CA 直接拒绝。可以用证书透明度日志按域名后缀检索，确认自己名下没有遗漏。


| 字段 | 值 |
|---|---|
| 投票 | SC-086v3 |
| 状态 | 通过 |
| 通过 | 2025-11-13 |
| 生效 | 2025-12-15 |
| BR 版本 | 2.2.0 |
| 官方页面 | https://cabforum.org/2025/11/10/ballot-sc-086v3-sunset-the-inclusion-of-ip-reverse-address-domain-names/ |