# CA/B 论坛是什么？定义、例子与常见误区

> CA/B 论坛是证书颁发机构与浏览器厂商组成的自愿性行业组织，负责制定公开信任证书必须遵守的基线规则。

Source: https://ssl.sh/zh/glossary/ca-browser-forum/
Last updated: 2026-11-10

CA/B 论坛（CA/Browser Forum）成立于 2005 年，把证书签发方（CA）和证书使用方（浏览器、操作系统厂商）召集在一起，共同制定行业规则。其服务器证书工作组维护 TLS 证书的 [Baseline Requirements](https://ssl.sh/zh/glossary/baseline-requirements/)（基线要求）和 EV 指南，另有工作组负责 S/MIME 和代码签名证书。规则通过编号投票（Ballot）修改，全文公布在 [cabforum.org](https://cabforum.org/)。

## 为什么重要
网站运维感受到的大多数规则都来自论坛投票。SC-081v3 投票（2025-04-11 结束表决）把 TLS 证书最长有效期在 2026-03-15 起降到 200 天、2027-03-15 起降到 100 天、2029-03-15 起降到 47 天；SC-063 把 CRL 改为强制、OCSP 改为可选；SC-067 引入了[多视角签发确认](https://ssl.sh/zh/glossary/mpic/)。论坛本身并不执法，规则之所以有约束力，是因为各家浏览器的[根证书计划](https://ssl.sh/zh/glossary/root-program/)要求 CA 遵守，并由审计核查。

## 例子
追溯一条规则：2026-04-01 签发的证书有效期不得超过 200 天。

```text
规则出处：Baseline Requirements（经 SC-081v3 投票通过）
执行方：  Chrome、Mozilla、Apple 等根证书计划
核查方：  CA 的年度审计
```

所以无论你在国内云平台还是直接向海外 CA 购买证书，有效期上限都一样。

## 常见误区
- **CA/B 论坛是政府机构或像 IETF 那样的标准组织。** 它是行业联盟，文件通过根证书计划和审计约束 CA。
- **没有投票，浏览器就不能行动。** 根证书计划可以单方面提出更严格的要求，比如 2020 年 Apple 先于 SC31 投票推行了 398 天上限。
- **只有 CA 有投票权。** 浏览器等证书使用方同样投票，提案需要两类成员都支持才能通过。

## 相关术语

- [Baseline Requirements](https://ssl.sh/zh/glossary/baseline-requirements/): Baseline Requirements 是 CA/B 论坛制定的基线要求，规定公开信任的 CA 在验证、签发和吊销 TLS 服务器证书时必须遵守的规则。
- [证书颁发机构](https://ssl.sh/zh/glossary/certificate-authority/): 证书颁发机构（CA）是负责审核申请者、签发数字证书，并把公钥与域名或身份绑定在一起的机构。
- [根证书计划](https://ssl.sh/zh/glossary/root-program/): 根证书计划是浏览器或操作系统厂商用来决定其信任库收录、限制或移除哪些根 CA 的政策与流程。
- [EV 证书](https://ssl.sh/zh/glossary/ev-certificate/): EV 证书是按照 CA/浏览器论坛《EV 指南》完成最严格身份审核后签发的 TLS 证书。
- [有效期](https://ssl.sh/zh/glossary/validity-period/): 有效期是证书中 notBefore 与 notAfter 两个时间之间的区间，只有在此区间内客户端才会接受这张证书。
- [MPIC](https://ssl.sh/zh/glossary/mpic/): MPIC 是要求 CA 从多个网络位置重复进行域名验证和 CAA 检查、只有足够多位置结果一致才签发证书的规则。
- [WebTrust 审计](https://ssl.sh/zh/glossary/webtrust/): WebTrust 审计是由持证审计师依据 CA/B 论坛和根证书计划要求检查 CA 内部控制的审计框架，全称 WebTrust for CAs。