# Baseline Requirements是什么？ > Baseline Requirements 是 CA/B 论坛制定的基线要求，规定公开信任的 CA 在验证、签发和吊销 TLS 服务器证书时必须遵守的规则。 Source: https://ssl.sh/zh/glossary/baseline-requirements/ Last updated: 2026-11-10 Baseline Requirements（简称 BR，全称 Baseline Requirements for the Issuance and Management of Publicly-Trusted TLS Server Certificates）由 [CA/B 论坛](https://ssl.sh/zh/glossary/ca-browser-forum/)维护，2012-07-01 起生效。它规定了 CA 如何验证域名控制权（[DCV](https://ssl.sh/zh/glossary/dcv/)）和组织身份、证书里允许出现哪些字段和密钥类型、最长有效期、CAA 检查、吊销时限以及审计义务。 ## 为什么重要 运维要盯的那些日期都写在 BR 里。按 SC-081v3 投票，2026-03-15 起签发的证书最长 200 天，2027-03-15 起 100 天，2029-03-15 起 47 天；域名验证结果的复用期在同样的日期依次缩短为 200 天、100 天，最终只有 10 天。第 4.9.1.1 节规定，私钥泄露等情形须在 24 小时内[吊销](https://ssl.sh/zh/glossary/revocation/)，其他多数情形须在 5 天内吊销。根证书计划要求 CA 遵守 BR，[WebTrust](https://ssl.sh/zh/glossary/webtrust/) 等年度审计负责核查。 ## 例子 最常被查阅的章节： ```text 3.2.2.4 域名授权或控制权验证（DCV 方法） 3.2.2.8 CAA 记录处理 4.9.1.1 吊销订户证书的原因 6.3.2 证书有效期（最长有效期） 7.1 证书格式规范（Certificate Profile） ``` 国内厂商的证书产品页上写的“有效期”“验证方式”，归根结底也受这些章节约束。 ## 常见误区 - **BR 适用于所有证书。** 它只覆盖公开信任的 TLS 服务器证书；私有 CA、S/MIME 和代码签名证书另有规则。 - **OV、EV 证书可以签得更久。** DV、OV、EV 的有效期上限完全相同，区别只在组织信息的复用期（398 天）。 - **BR 是法律。** 它是行业标准，靠浏览器根证书计划和审计来执行。 ## 相关术语 - [CA/B 论坛](https://ssl.sh/zh/glossary/ca-browser-forum/): CA/B 论坛是证书颁发机构与浏览器厂商组成的自愿性行业组织，负责制定公开信任证书必须遵守的基线规则。 - [证书颁发机构](https://ssl.sh/zh/glossary/certificate-authority/): 证书颁发机构（CA）是负责审核申请者、签发数字证书，并把公钥与域名或身份绑定在一起的机构。 - [有效期](https://ssl.sh/zh/glossary/validity-period/): 有效期是证书中 notBefore 与 notAfter 两个时间之间的区间，只有在此区间内客户端才会接受这张证书。 - [DCV](https://ssl.sh/zh/glossary/dcv/): DCV 即域名控制权验证，是 CA 在签发证书前确认申请者确实控制证书中每一个域名的检查。 - [证书吊销](https://ssl.sh/zh/glossary/revocation/): 证书吊销是 CA 在证书到期前宣布其作废的操作，通过 CRL 或 OCSP 对外公布，使客户端不再信任这张证书。 - [CAA 记录](https://ssl.sh/zh/glossary/caa/): CAA 记录是一种 DNS 记录，用来声明哪些证书颁发机构可以为该域名签发证书，所有公共 CA 签发前都必须检查。 - [MPIC](https://ssl.sh/zh/glossary/mpic/): MPIC 是要求 CA 从多个网络位置重复进行域名验证和 CAA 检查、只有足够多位置结果一致才签发证书的规则。 - [WebTrust 审计](https://ssl.sh/zh/glossary/webtrust/): WebTrust 审计是由持证审计师依据 CA/B 论坛和根证书计划要求检查 CA 内部控制的审计框架，全称 WebTrust for CAs。