SC-098v2：CA 必须遵守 CAA 的账户和验证方法限制

SC-098v2 让 CAA 的精细控制真正生效。从 2027-03-15 起，所有公开受信任的 CA 都必须遵守 RFC 8657 的 accounturi 和 validationmethods 参数，于是 CAA 记录除了限定 CA，还能限定到这家 CA 的某个账户，并要求只用 DNS 验证。

改了什么

SC-098v2 规定，从 2027-03-15 起 CA 必须处理 RFC 8657 的这两个参数。RFC 8657（2019 年）为 CAA 增加了它们，但基线要求只说 CA“应当”处理。投票文本指出，只有 CA 真正处理而不是忽略这些参数，它们才有价值。不以 ACME 账户 URL 识别用户账户的 CA，必须在 CP/CPS 中定义自己支持的 accounturi 格式。不在 IANA ACME 注册表里的验证方法，用 ca-tbr- 加基线要求 3.2.2.4 的小节号命名，例如方法 3.2.2.4.7 对应 ca-tbr-7。ACME CA 还可以让一个“父账户”授权多个子账户。投票同时把 CAA 规则整理到了 §4.2。

生效日期

投票于 2026-05-13 通过，基线要求文本于 2026-06-16 生效，处理参数的要求从 2027-03-15 起执行。

影响谁

SC-098v2 关系到想要比普通 issue 记录更强保护的域名所有者，以及已经在用这些参数的人：像下面这样的记录，将会挡住这家 CA 的其他所有账户和验证方法。

example.com. CAA 0 issue "letsencrypt.org; accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/123456; validationmethods=dns-01"

该怎么做

2027-03-15 之前检查一遍 CAA 记录。如果加了 accounturi，要把为该域名续期的每个 ACME 客户端的账户 URL 都写进去（比如多台服务器各自跑 acme.sh、或宝塔面板和 acme.sh 混用时，账户往往不同），否则其他服务器的续期会失败。DNSPod、阿里云 DNS 等都支持添加 CAA 记录。可以用 CAA 生成器和 CAA 检查工具生成、核对记录；基础知识见 Ballot 187。