# SC-092：预证书签名 CA 退役

> SC-092 规定从 2026-03-15 起，CA 不得再用专门的预证书签名 CA 为证书透明度签发预证书，简化 CT 日志和监控的证书链处理。

Source: https://ssl.sh/zh/ballots/sc-092/
Last updated: 2026-11-10

SC-092 去掉了[证书透明度（CT）](https://ssl.sh/zh/glossary/certificate-transparency/)里一个可选又很少用的部件：预证书签名 CA。从 2026-03-15 起，提交到 CT 日志的预证书必须由签发 CA 直接签名，不能再交给一个专门干这件事的中间 CA。

## 改了什么

SC-092 废止了基线要求里预证书签名 CA 的配置文件。证书正式签发前，CA 要先把一张“预证书”提交到 CT 日志，换取 [SCT](https://ssl.sh/zh/glossary/sct/)。RFC 6962 允许增加一个技术上受限、只能签预证书的中间 CA，[SC-062v2](https://ssl.sh/zh/ballots/sc-062/) 还为它写了基线要求里的配置文件。投票给出三条理由：这类 CA 迫使所有 CT 日志和监控程序额外支持一套不同的证书链构建逻辑；采用率一直很低；额外的复杂度还真的引发过运行故障，导致一个 CT 日志被拒绝。CT 2.0 标准 RFC 9162 早就弃用了这一机制。

## 生效日期

基线要求修改于 2025-11-04 生效。从 2026-03-15 起，CA 不得再用预证书签名 CA 签发预证书，也不得按对应配置文件签发证书。

## 影响谁

SC-092 影响少数采用这种设计的 CA、CT 日志运营方和证书监控服务。网站所有者感觉不到任何变化：证书照样带 SCT，Chrome、Safari 等浏览器照样检查 CT。

## 该怎么做

站长无需任何操作。如果你在做 CT 监控或使用 [CT 查询工具](https://ssl.sh/zh/tools/ct-search/)，可以预期 2026-03-15 之后签发的预证书都直接链到签发 CA。


| 字段 | 值 |
|---|---|
| 投票 | SC-092 |
| 状态 | 通过 |
| 通过 | 2025-10-03 |
| 生效 | 2025-11-04 |
| BR 版本 | 2.1.8 |
| 官方页面 | https://cabforum.org/2025/09/02/ballot-sc-092-sunset-use-of-precertificate-signing-cas/ |