CA/B 论坛投票 · SC-090
SC-090：邮件和电话验证域名 2028 年前全部退场
详细信息
- 投票
- SC-090
- 标题
- Gradually sunset all remaining email-based, phone-based, and ‘crossover’ validation methods from Sections 3.2.2.4 and 3.2.2.5
- 状态
- 通过
- 日期
- 2025-11-20
- 通过
- 生效
- BR 版本
- 2.2.2
- 官方页面
- cabforum.org
关键日期
- 禁用方法 3.2.2.4.8（IP 地址）
- 电话方法 3.2.2.4.16、3.2.2.4.17、3.2.2.5.5 和 IP 联系人方法 3.2.2.5.2 停用
- 邮件方法 3.2.2.4.4、3.2.2.4.13、3.2.2.4.14 停用
SC-090 废止邮件和电话验证域名：从 2026-03-15 到 2028-03-15，CA 要分批停用所有靠邮件、电话证明域名或 IP 控制权的方法，第一个停用的是投票认为会招致“交叉”攻击的“IP 地址”方法。
改了什么
SC-090 从基线要求中废止八种验证方法。邮件和电话类：3.2.2.4.4（向 admin@、administrator@、webmaster@、hostmaster@、postmaster@ 等构造邮箱发邮件）、3.2.2.4.13（向 DNS CAA 联系人发邮件）、3.2.2.4.14（向 DNS TXT 联系人发邮件）、3.2.2.4.16 和 3.2.2.4.17（通过 DNS TXT 或 CAA 登记的电话联系），以及 IP 地址的 3.2.2.5.2 和 3.2.2.5.5。易受交叉攻击的方法：3.2.2.4.8（IP 地址）。理由是：MPIC 能保护联系人邮箱的 DNS 查询，却挡不住劫持邮件服务器 IP、截获验证邮件的攻击者。
生效日期
基线要求修改于 2026-01-12 生效。3.2.2.4.8 于 2026-03-15 停用；电话方法和 IP 联系人邮件方法于 2027-03-15 停用；其余邮件方法于 2028-03-15 停用。
影响谁
SC-090 影响所有习惯“在 admin@ 或 webmaster@ 邮箱里点链接完成验证”的用户：手动购买 OV、EV 证书时这很常见，部分 DV 证书也这样做；还有买证书的人改不了 DNS、也碰不到服务器的公司。在国内代理商或云厂商处购买付费证书时选“邮箱验证”的，2028 年后都得换方式。用 ACME（acme.sh、certbot、宝塔面板）的站长本来就用 DNS 或 HTTP 验证，不受影响。
该怎么做
改用基于 DNS 的验证（TXT 记录、DNS-01，或 SC-088v3 引入的可复用持久 TXT 记录），或基于网站的验证（HTTP-01、文件验证）。如果 DNS 归别的部门管，最好在 2028 年 3 月前商量好委托方式，比如为验证子域名设置 CNAME。