# 错误签发（Misissuance）是什么？定义、例子与常见误区

> 错误签发是指 CA 违反 Baseline Requirements 或根证书计划政策签发证书，从验证缺陷到字段格式错误都算在内。

Source: https://ssl.sh/zh/glossary/misissuance/
Last updated: 2026-11-10

错误签发分为两大类。严重的一类是把证书签给了并不控制该域名的人，例如 [DCV](https://ssl.sh/zh/glossary/dcv/) 方法有缺陷，或者 CA 无视了 [CAA](https://ssl.sh/zh/glossary/caa/) 记录。更常见的一类是证书签给了正确的所有者，但内容不合规：编码错误、包含被禁止的扩展、有效期超过上限、序列号随机性不足等。两类都算错误签发；而且只要日志里出现了违规的[预证书](https://ssl.sh/zh/glossary/precertificate/)，即使正式证书从未签发，也同样算数。

## 为什么重要
根证书计划要求 CA 在发现或被告知错误签发后，先消除原因、公开提交事件报告（Mozilla 在其 Bugzilla 中跟踪），并在 Baseline Requirements 规定的时限内吊销受影响的证书，不合规证书一般为 5 天。事件反复发生、吊销拖延或不彻底，正是导致[取消信任](https://ssl.sh/zh/glossary/distrust/)的主要原因。证书透明度让错误签发可以被发现：研究人员用 zlint、pkilint 等证书检查工具扫描 CT 日志，域名所有者也能发现自己从未申请过的证书。

## 例子
某 CA 发现一次软件变更导致它在一周内签发的证书带有格式错误的扩展。它必须上报事件，并在 5 天内吊销这些证书。受影响的网站会收到通知，必须尽快更换证书。手工在宝塔面板或服务器上部署证书的团队，往往就在这种时候手忙脚乱；用 ACME 自动续期、最好再配合 ARI 的网站则能自动完成替换。

## 常见误区
- **错误签发就是证书落到了攻击者手里。** 多数案例只是给合法所有者签发的证书存在技术性合规问题，但同样必须吊销。
- **格式上的小错误无关紧要。** 严格的解析器可能拒绝格式错误的证书，而且规则要求无论风险大小都得吊销。
- **证书透明度能防止错误签发。** 它只能让错误签发的证书在事后被看见。

## 相关术语

- [证书透明度](https://ssl.sh/zh/glossary/certificate-transparency/): 证书透明度（CT）是一套公开、只可追加的日志系统，记录所有公开信任的 TLS 证书，让任何人都能审计 CA 签发了什么。
- [Baseline Requirements](https://ssl.sh/zh/glossary/baseline-requirements/): Baseline Requirements 是 CA/B 论坛制定的基线要求，规定公开信任的 CA 在验证、签发和吊销 TLS 服务器证书时必须遵守的规则。
- [证书吊销](https://ssl.sh/zh/glossary/revocation/): 证书吊销是 CA 在证书到期前宣布其作废的操作，通过 CRL 或 OCSP 对外公布，使客户端不再信任这张证书。
- [取消信任](https://ssl.sh/zh/glossary/distrust/): 取消信任是根证书计划作出的决定：不再信任某家 CA 的证书，可能是全部证书，也可能只针对截止日期之后签发的证书。
- [CAA 记录](https://ssl.sh/zh/glossary/caa/): CAA 记录是一种 DNS 记录，用来声明哪些证书颁发机构可以为该域名签发证书，所有公共 CA 签发前都必须检查。
- [预证书](https://ssl.sh/zh/glossary/precertificate/): 预证书是 CA 在正式签发前提交到 CT 日志的证书副本，带有“毒化”扩展而无法使用，用来换取 SCT。
- [DCV](https://ssl.sh/zh/glossary/dcv/): DCV 即域名控制权验证，是 CA 在签发证书前确认申请者确实控制证书中每一个域名的检查。