MPIC （多视角签发确认）

MPIC（Multi-Perspective Issuance Corroboration，多视角签发确认）由 CA/B 论坛 SC-067 投票引入。CA 除了主验证之外，还必须从多个远程网络视角进行域名控制权验证和 CAA 查询，只有达到法定数量的视角结果一致才能继续签发。该要求自 2025-03-15 起强制执行，至少需要 2 个远程视角；2025-09-15 起开始强制执行法定数量（quorum）规则，所需视角数量在 2026 年内继续增加。

为什么重要

单一位置的验证可能被局部攻击骗过，例如只影响 CA 验证服务器附近网络的 BGP 劫持或 DNS 欺骗。有了 MPIC，攻击者必须同时骗过分布在多个网络中的观测点。Let's Encrypt 在这项投票之前就已经采用多视角验证。对运维来说，副作用很实际：每个视角都必须能访问到你的验证内容，所以地域封锁、只放行特定来源 IP 的防火墙，或者按地区返回不同结果的 DNS，都可能导致 HTTP-01 或 DNS-01 验证失败。

例子

国内常见的情形：云服务器安全组只放行国内 IP，或者在 DNSPod、阿里云云解析里给“境外”线路配置了不同的解析记录。主视角验证成功，但其他地区的视角超时或拿到错误内容，达不到法定数量，ACME 客户端报告连接超时。验证期间对所有来源开放 80 端口、统一各线路的解析，或者改用 DNS-01 并使用公网可达的权威 DNS，即可解决。

常见误区

• 只给 CA 的 IP 开白名单是好的防火墙策略。 验证视角分布在不同网络且可能变化，限制来源 IP 正是 MPIC 失败的典型原因。
• MPIC 只影响 HTTP-01。 基于 DNS 的验证和 CAA 检查同样适用。
• MPIC 能防御 DNS 服务商被攻破。 如果权威 DNS 本身被攻破，所有视角看到的都是同一个错误答案。