错误签发 （Misissuance）

错误签发分为两大类。严重的一类是把证书签给了并不控制该域名的人，例如 DCV 方法有缺陷，或者 CA 无视了 CAA 记录。更常见的一类是证书签给了正确的所有者，但内容不合规：编码错误、包含被禁止的扩展、有效期超过上限、序列号随机性不足等。两类都算错误签发；而且只要日志里出现了违规的预证书，即使正式证书从未签发，也同样算数。

为什么重要

根证书计划要求 CA 在发现或被告知错误签发后，先消除原因、公开提交事件报告（Mozilla 在其 Bugzilla 中跟踪），并在 Baseline Requirements 规定的时限内吊销受影响的证书，不合规证书一般为 5 天。事件反复发生、吊销拖延或不彻底，正是导致取消信任的主要原因。证书透明度让错误签发可以被发现：研究人员用 zlint、pkilint 等证书检查工具扫描 CT 日志，域名所有者也能发现自己从未申请过的证书。

例子

某 CA 发现一次软件变更导致它在一周内签发的证书带有格式错误的扩展。它必须上报事件，并在 5 天内吊销这些证书。受影响的网站会收到通知，必须尽快更换证书。手工在宝塔面板或服务器上部署证书的团队，往往就在这种时候手忙脚乱；用 ACME 自动续期、最好再配合 ARI 的网站则能自动完成替换。

常见误区

• 错误签发就是证书落到了攻击者手里。 多数案例只是给合法所有者签发的证书存在技术性合规问题，但同样必须吊销。
• 格式上的小错误无关紧要。 严格的解析器可能拒绝格式错误的证书，而且规则要求无论风险大小都得吊销。
• 证书透明度能防止错误签发。 它只能让错误签发的证书在事后被看见。