SC-088v3：用固定的 DNS TXT 记录验证域名

SC-088v3 让你用一条永远不用改的 DNS TXT 记录完成域名验证。新方法 3.2.2.4.22 把 TXT 记录和你在 CA 的账户绑定，只要记录还在，CA 每次签发新证书时都能重新检查它，你不用再碰 DNS。

改了什么

SC-088v3 在基线要求 §3.2.2.4 新增“带持久值的 DNS TXT 记录”方法，一条 TXT 记录就能用于每次验证。现有的 DNS 验证方法（比如 ACME 的 DNS-01）每次都要在 TXT 记录里写一个新的随机值，这意味着要么把 DNS API 密钥放在服务器上（acme.sh 配 DNSPod、阿里云 DNS 的 API 就是这样），要么每次手动改解析。新记录放在 _validation-persist.<域名> 下，格式和 CAA 类似：CA 的签发者域名，加上标明你账户的 accounturi 参数，还可以用 persistUntil 设一个失效时间戳：

_validation-persist.example.com. IN TXT "authority.example; accounturi=https://authority.example/acct/123"

投票文本说它的安全性与现有 DNS 方法相当，又省去了每次续期改 DNS。提案来自 Amazon Trust Services，Google Chrome、DigiCert 和 Sectigo 附议。

生效日期

基线要求修改于 2025-11-10 生效，从此 CA 可以提供这种方法。它是可选的，CA 可以支持也可以不支持。用这种方法验证必须经过 MPIC，现行基线要求规定其验证结果最多复用 10 天，所以 CA 会频繁重新检查；好处在于重新检查不需要改 DNS。

影响谁

SC-088v3 适合不想在 Web 服务器上存放 DNS API 密钥的运维，以及 DNS 由另一个部门管理的企业。它很适合应对 2026 到 2029 年越来越短的证书有效期，也是 SC-090 废止邮件验证之后的好替代。

该怎么做

先确认你的 CA 是否支持 3.2.2.4.22，以及要求的记录格式。像对待其他授权凭据一样保护这条记录：不再使用那个 CA 账户时，记得把记录删掉。