# SC-089：每家 CA 都要有经过演练的大规模吊销预案

> SC-089 要求公开受信任的 TLS CA 制定大规模吊销预案并每年演练，2025-12-01 起须在 CPS 中声明，演练不能吊销真实证书。

Source: https://ssl.sh/zh/ballots/sc-089/
Last updated: 2026-11-10

SC-089 要求 CA 为“必须一次性吊销大批证书”的那一天做好准备。每家公开受信任的 TLS CA 都要有成文的大规模吊销预案，每年演练一次，并从 2025-12-01 起在 CPS 中声明这一点。

## 改了什么

SC-089 在[基线要求](https://ssl.sh/zh/glossary/baseline-requirements/)中新增 §5.7.1.2。投票文本指出，过去的大规模吊销事件暴露了 CA 在准备程度、与客户沟通、及时替换被吊销证书方面的问题。预案必须包括：客观可衡量的启动阈值、客户联系方式如何保持最新、哪些环节已自动化、各阶段时间目标、如何通知证书用户、职责分工、人员培训、年度演练（桌面推演或模拟，不能吊销真实证书），以及如何把经验教训补充进预案。预案本身不必公开。Mozilla 根证书计划早已有此要求，投票由 Mozilla 提出，D-Trust 和 OISTE 附议。

## 生效日期

基线要求修改于 2025-08-25 生效；在 CPS 中声明的要求从 2025-12-01 起执行。

## 影响谁

SC-089 直接影响 CA，间接影响站长：当 CA 发现某个错误波及大量证书时，基线要求可能规定几天内就必须吊销，有成熟预案的 CA 更可能及时通知、给出快速换证的办法。在国内代理商处购买证书的用户，通知往往要经过代理商转达，更要留意。

## 该怎么做

为“提前换证”做好准备：核对 CA 账户（或代理商处）登记的联系邮箱是否有效；把续期自动化，能在短时间内换上新证书；可以选用支持 [ARI](https://ssl.sh/zh/glossary/ari/) 的 ACME 客户端，CA 能借此通知客户端提前续期。具体做法见[自动续期证书](https://ssl.sh/zh/learn/automate-certificate-renewal/)。


| 字段 | 值 |
|---|---|
| 投票 | SC-089 |
| 状态 | 通过 |
| 通过 | 2025-07-23 |
| 生效 | 2025-08-25 |
| BR 版本 | 2.1.7 |
| 官方页面 | https://cabforum.org/2025/07/22/ballot-sc-089-mass-revocation-planning/ |