# SC-090：邮件和电话验证域名 2028 年前全部退场

> SC-090 在 2026 到 2028 年间分批废止所有基于邮件、电话的域名和 IP 验证方法，以及易受“交叉”攻击的 IP 地址验证法。

Source: https://ssl.sh/zh/ballots/sc-090/
Last updated: 2026-11-10

SC-090 废止邮件和电话验证域名：从 2026-03-15 到 2028-03-15，CA 要分批停用所有靠邮件、电话证明域名或 IP 控制权的方法，第一个停用的是投票认为会招致“交叉”攻击的“IP 地址”方法。

## 改了什么

SC-090 从[基线要求](https://ssl.sh/zh/glossary/baseline-requirements/)中废止八种验证方法。邮件和电话类：3.2.2.4.4（向 admin@、administrator@、webmaster@、hostmaster@、postmaster@ 等构造邮箱发邮件）、3.2.2.4.13（向 DNS CAA 联系人发邮件）、3.2.2.4.14（向 DNS TXT 联系人发邮件）、3.2.2.4.16 和 3.2.2.4.17（通过 DNS TXT 或 CAA 登记的电话联系），以及 IP 地址的 3.2.2.5.2 和 3.2.2.5.5。易受交叉攻击的方法：3.2.2.4.8（IP 地址）。理由是：[MPIC](https://ssl.sh/zh/glossary/mpic/) 能保护联系人邮箱的 DNS 查询，却挡不住劫持邮件服务器 IP、截获验证邮件的攻击者。

## 生效日期

基线要求修改于 2026-01-12 生效。3.2.2.4.8 于 2026-03-15 停用；电话方法和 IP 联系人邮件方法于 2027-03-15 停用；其余邮件方法于 2028-03-15 停用。

## 影响谁

SC-090 影响所有习惯“在 admin@ 或 webmaster@ 邮箱里点链接完成验证”的用户：手动购买 OV、EV 证书时这很常见，部分 DV 证书也这样做；还有买证书的人改不了 DNS、也碰不到服务器的公司。在国内代理商或云厂商处购买付费证书时选“邮箱验证”的，2028 年后都得换方式。用 ACME（acme.sh、certbot、宝塔面板）的站长本来就用 DNS 或 HTTP 验证，不受影响。

## 该怎么做

改用基于 DNS 的验证（TXT 记录、[DNS-01](https://ssl.sh/zh/glossary/dns-01/)，或 [SC-088v3](https://ssl.sh/zh/ballots/sc-088/) 引入的可复用持久 TXT 记录），或基于网站的验证（[HTTP-01](https://ssl.sh/zh/glossary/http-01/)、文件验证）。如果 DNS 归别的部门管，最好在 2028 年 3 月前商量好委托方式，比如为验证子域名设置 CNAME。


| 字段 | 值 |
|---|---|
| 投票 | SC-090 |
| 状态 | 通过 |
| 通过 | 2025-11-20 |
| 生效 | 2026-01-12 |
| BR 版本 | 2.2.2 |
| 官方页面 | https://cabforum.org/2025/11/20/ballot-sc-090-gradually-sunset-all-remaining-email-based-phone-based-and-crossover-validation-methods-from-sections-3.2.2.4-and-3.2.2.5/ |