# SC-098v2：CA 必须遵守 CAA 的账户和验证方法限制

> SC-098v2 要求 CA 从 2027-03-15 起遵守 CAA 的 accounturi 和 validationmethods 参数，把签发限定到指定账户或验证方法。

Source: https://ssl.sh/zh/ballots/sc-098/
Last updated: 2026-11-10

SC-098v2 让 [CAA](https://ssl.sh/zh/glossary/caa/) 的精细控制真正生效。从 2027-03-15 起，所有公开受信任的 CA 都必须遵守 RFC 8657 的 `accounturi` 和 `validationmethods` 参数，于是 CAA 记录除了限定 CA，还能限定到这家 CA 的某个账户，并要求只用 DNS 验证。

## 改了什么

SC-098v2 规定，从 2027-03-15 起 CA 必须处理 RFC 8657 的这两个参数。RFC 8657（2019 年）为 CAA 增加了它们，但[基线要求](https://ssl.sh/zh/glossary/baseline-requirements/)只说 CA“应当”处理。投票文本指出，只有 CA 真正处理而不是忽略这些参数，它们才有价值。不以 ACME 账户 URL 识别用户账户的 CA，必须在 CP/CPS 中定义自己支持的 `accounturi` 格式。不在 IANA ACME 注册表里的验证方法，用 `ca-tbr-` 加基线要求 3.2.2.4 的小节号命名，例如方法 3.2.2.4.7 对应 `ca-tbr-7`。ACME CA 还可以让一个“父账户”授权多个子账户。投票同时把 CAA 规则整理到了 §4.2。

## 生效日期

投票于 2026-05-13 通过，基线要求文本于 2026-06-16 生效，处理参数的要求从 2027-03-15 起执行。

## 影响谁

SC-098v2 关系到想要比普通 `issue` 记录更强保护的域名所有者，以及已经在用这些参数的人：像下面这样的记录，将会挡住这家 CA 的其他所有账户和验证方法。

```dns
example.com. CAA 0 issue "letsencrypt.org; accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/123456; validationmethods=dns-01"
```

## 该怎么做

2027-03-15 之前检查一遍 CAA 记录。如果加了 `accounturi`，要把为该域名续期的每个 ACME 客户端的账户 URL 都写进去（比如多台服务器各自跑 acme.sh、或宝塔面板和 acme.sh 混用时，账户往往不同），否则其他服务器的续期会失败。DNSPod、阿里云 DNS 等都支持添加 CAA 记录。可以用 [CAA 生成器](https://ssl.sh/zh/tools/caa-generator/)和 [CAA 检查工具](https://ssl.sh/zh/tools/caa-checker/)生成、核对记录；基础知识见 [Ballot 187](https://ssl.sh/zh/ballots/ballot-187/)。


| 字段 | 值 |
|---|---|
| 投票 | SC-098v2 |
| 状态 | 通过 |
| 通过 | 2026-05-13 |
| 生效 | 2026-06-16 |
| BR 版本 | 2.2.8 |
| 官方页面 | https://cabforum.org/2026/05/13/ballot-sc098v2-process-rfc-8657-caa-parameters/ |