# CPS是什么？定义、例子与常见误区

> CPS 即电子认证业务规则，是 CA 公开发布的文件，说明它如何验证申请者、签发和吊销证书以及保护密钥。

Source: https://ssl.sh/zh/glossary/cps/
Last updated: 2026-11-10

CPS（Certification Practice Statement）是 [证书策略](https://ssl.sh/zh/glossary/certificate-policy/) 的执行层文档：CP 提出要求，CPS 说明某家 CA 为满足要求而采用的具体流程。公共 CA 都会按 RFC 3647 的结构公开发布 CP 和 CPS（很多时候合并成一份），内容涵盖域名和组织验证方法、物理与人员安全、密钥生成与保管、证书模板、吊销处理和审计安排。国内持有电子认证服务许可的 CA 也会公开发布“电子认证业务规则”，对应的就是 CPS。

## 为什么重要
CPS 是审计师对照检查 CA 的依据，也是根证书计划决定是否信任一家 CA 时要阅读的材料。[Baseline Requirements](https://ssl.sh/zh/glossary/baseline-requirements/) 要求 CA 保持 CP/CPS 最新，并至少每年更新一次。CA 以 CPS 不允许的方式签发证书就构成 [错误签发](https://ssl.sh/zh/glossary/misissuance/)，即使证书本身无害，也应公开提交事件报告。对证书用户来说，CPS 能回答很实际的问题：这家 CA 接受哪些域名验证方式、收到吊销请求后多久处理。

## 例子
```text
X509v3 Certificate Policies:
    Policy: 2.23.140.1.2.1
    Policy: 1.3.6.1.4.1.32473.1
      CPS: http://ca.example.com/cps
```

证书中的 CPS 限定符指向这份文档，这里的 `ca.example.com` 代替真实 CA 的文档库地址。

## 常见误区
- **CPS 是给律师看的。** 它是技术文档，例如写明了 CA 使用哪些域名验证方法、如何处理吊销请求。
- **CPS 就是用户协议。** 用户协议是你接受的合同，CPS 描述的是 CA 自身的操作规范。

## 相关术语

- [证书策略](https://ssl.sh/zh/glossary/certificate-policy/): 证书策略（CP）是针对某类证书签发和使用制定的一套命名规则，在证书的证书策略扩展中以 OID 形式引用。
- [证书颁发机构](https://ssl.sh/zh/glossary/certificate-authority/): 证书颁发机构（CA）是负责审核申请者、签发数字证书，并把公钥与域名或身份绑定在一起的机构。
- [Baseline Requirements](https://ssl.sh/zh/glossary/baseline-requirements/): Baseline Requirements 是 CA/B 论坛制定的基线要求，规定公开信任的 CA 在验证、签发和吊销 TLS 服务器证书时必须遵守的规则。
- [WebTrust 审计](https://ssl.sh/zh/glossary/webtrust/): WebTrust 审计是由持证审计师依据 CA/B 论坛和根证书计划要求检查 CA 内部控制的审计框架，全称 WebTrust for CAs。
- [错误签发](https://ssl.sh/zh/glossary/misissuance/): 错误签发是指 CA 违反 Baseline Requirements 或根证书计划政策签发证书，从验证缺陷到字段格式错误都算在内。
- [根证书计划](https://ssl.sh/zh/glossary/root-program/): 根证书计划是浏览器或操作系统厂商用来决定其信任库收录、限制或移除哪些根 CA 的政策与流程。