SC-089：每家 CA 都要有经过演练的大规模吊销预案

SC-089 要求 CA 为“必须一次性吊销大批证书”的那一天做好准备。每家公开受信任的 TLS CA 都要有成文的大规模吊销预案，每年演练一次，并从 2025-12-01 起在 CPS 中声明这一点。

改了什么

SC-089 在基线要求中新增 §5.7.1.2。投票文本指出，过去的大规模吊销事件暴露了 CA 在准备程度、与客户沟通、及时替换被吊销证书方面的问题。预案必须包括：客观可衡量的启动阈值、客户联系方式如何保持最新、哪些环节已自动化、各阶段时间目标、如何通知证书用户、职责分工、人员培训、年度演练（桌面推演或模拟，不能吊销真实证书），以及如何把经验教训补充进预案。预案本身不必公开。Mozilla 根证书计划早已有此要求，投票由 Mozilla 提出，D-Trust 和 OISTE 附议。

生效日期

基线要求修改于 2025-08-25 生效；在 CPS 中声明的要求从 2025-12-01 起执行。

影响谁

SC-089 直接影响 CA，间接影响站长：当 CA 发现某个错误波及大量证书时，基线要求可能规定几天内就必须吊销，有成熟预案的 CA 更可能及时通知、给出快速换证的办法。在国内代理商处购买证书的用户，通知往往要经过代理商转达，更要留意。

该怎么做

为“提前换证”做好准备：核对 CA 账户（或代理商处）登记的联系邮箱是否有效；把续期自动化，能在短时间内换上新证书；可以选用支持 ARI 的 ACME 客户端，CA 能借此通知客户端提前续期。具体做法见自动续期证书。