# SC-088v3：用固定的 DNS TXT 记录验证域名

> SC-088v3 新增验证方法 3.2.2.4.22：一条与 CA 账户绑定、长期保留的 DNS TXT 记录，每次续期都可复用，不必再改 DNS。

Source: https://ssl.sh/zh/ballots/sc-088/
Last updated: 2026-11-10

SC-088v3 让你用一条永远不用改的 DNS TXT 记录完成域名验证。新方法 3.2.2.4.22 把 TXT 记录和你在 CA 的账户绑定，只要记录还在，CA 每次签发新证书时都能重新检查它，你不用再碰 DNS。

## 改了什么

SC-088v3 在[基线要求](https://ssl.sh/zh/glossary/baseline-requirements/) §3.2.2.4 新增“带持久值的 DNS TXT 记录”方法，一条 TXT 记录就能用于每次验证。现有的 DNS 验证方法（比如 ACME 的 [DNS-01](https://ssl.sh/zh/glossary/dns-01/)）每次都要在 TXT 记录里写一个新的随机值，这意味着要么把 DNS API 密钥放在服务器上（acme.sh 配 DNSPod、阿里云 DNS 的 API 就是这样），要么每次手动改解析。新记录放在 `_validation-persist.<域名>` 下，格式和 CAA 类似：CA 的签发者域名，加上标明你账户的 `accounturi` 参数，还可以用 `persistUntil` 设一个失效时间戳：

```dns
_validation-persist.example.com. IN TXT "authority.example; accounturi=https://authority.example/acct/123"
```

投票文本说它的安全性与现有 DNS 方法相当，又省去了每次续期改 DNS。提案来自 Amazon Trust Services，Google Chrome、DigiCert 和 Sectigo 附议。

## 生效日期

基线要求修改于 2025-11-10 生效，从此 CA 可以提供这种方法。它是可选的，CA 可以支持也可以不支持。用这种方法验证必须经过 [MPIC](https://ssl.sh/zh/glossary/mpic/)，现行基线要求规定其验证结果最多复用 10 天，所以 CA 会频繁重新检查；好处在于重新检查不需要改 DNS。

## 影响谁

SC-088v3 适合不想在 Web 服务器上存放 DNS API 密钥的运维，以及 DNS 由另一个部门管理的企业。它很适合应对 2026 到 2029 年越来越短的证书有效期，也是 [SC-090](https://ssl.sh/zh/ballots/sc-090/) 废止邮件验证之后的好替代。

## 该怎么做

先确认你的 CA 是否支持 3.2.2.4.22，以及要求的记录格式。像对待其他授权凭据一样保护这条记录：不再使用那个 CA 账户时，记得把记录删掉。


| 字段 | 值 |
|---|---|
| 投票 | SC-088v3 |
| 状态 | 通过 |
| 通过 | 2025-10-09 |
| 生效 | 2025-11-10 |
| BR 版本 | 2.1.9 |
| 官方页面 | https://cabforum.org/2025/10/09/ballot-sc-088v3-dns-txt-record-with-persistent-value-dcv-method/ |