SC-092：预证书签名 CA 退役

SC-092 去掉了证书透明度（CT）里一个可选又很少用的部件：预证书签名 CA。从 2026-03-15 起，提交到 CT 日志的预证书必须由签发 CA 直接签名，不能再交给一个专门干这件事的中间 CA。

改了什么

SC-092 废止了基线要求里预证书签名 CA 的配置文件。证书正式签发前，CA 要先把一张“预证书”提交到 CT 日志，换取 SCT。RFC 6962 允许增加一个技术上受限、只能签预证书的中间 CA，SC-062v2 还为它写了基线要求里的配置文件。投票给出三条理由：这类 CA 迫使所有 CT 日志和监控程序额外支持一套不同的证书链构建逻辑；采用率一直很低；额外的复杂度还真的引发过运行故障，导致一个 CT 日志被拒绝。CT 2.0 标准 RFC 9162 早就弃用了这一机制。

生效日期

基线要求修改于 2025-11-04 生效。从 2026-03-15 起，CA 不得再用预证书签名 CA 签发预证书，也不得按对应配置文件签发证书。

影响谁

SC-092 影响少数采用这种设计的 CA、CT 日志运营方和证书监控服务。网站所有者感觉不到任何变化：证书照样带 SCT，Chrome、Safari 等浏览器照样检查 CT。

该怎么做

站长无需任何操作。如果你在做 CT 监控或使用 CT 查询工具，可以预期 2026-03-15 之后签发的预证书都直接链到签发 CA。