# MPIC（多视角签发确认）是什么？定义、例子与常见误区

> MPIC 是要求 CA 从多个网络位置重复进行域名验证和 CAA 检查、只有足够多位置结果一致才签发证书的规则。

Source: https://ssl.sh/zh/glossary/mpic/
Last updated: 2026-11-10

MPIC（Multi-Perspective Issuance Corroboration，多视角签发确认）由 CA/B 论坛 SC-067 投票引入。CA 除了主验证之外，还必须从多个远程网络视角进行[域名控制权验证](https://ssl.sh/zh/glossary/dcv/)和 [CAA](https://ssl.sh/zh/glossary/caa/) 查询，只有达到法定数量的视角结果一致才能继续签发。该要求自 2025-03-15 起强制执行，至少需要 2 个远程视角；2025-09-15 起开始强制执行法定数量（quorum）规则，所需视角数量在 2026 年内继续增加。

## 为什么重要
单一位置的验证可能被局部攻击骗过，例如只影响 CA 验证服务器附近网络的 BGP 劫持或 DNS 欺骗。有了 MPIC，攻击者必须同时骗过分布在多个网络中的观测点。Let's Encrypt 在这项投票之前就已经采用多视角验证。对运维来说，副作用很实际：每个视角都必须能访问到你的验证内容，所以地域封锁、只放行特定来源 IP 的防火墙，或者按地区返回不同结果的 DNS，都可能导致 [HTTP-01](https://ssl.sh/zh/glossary/http-01/) 或 DNS-01 验证失败。

## 例子
国内常见的情形：云服务器安全组只放行国内 IP，或者在 DNSPod、阿里云云解析里给“境外”线路配置了不同的解析记录。主视角验证成功，但其他地区的视角超时或拿到错误内容，达不到法定数量，ACME 客户端报告连接超时。验证期间对所有来源开放 80 端口、统一各线路的解析，或者改用 DNS-01 并使用公网可达的权威 DNS，即可解决。

## 常见误区
- **只给 CA 的 IP 开白名单是好的防火墙策略。** 验证视角分布在不同网络且可能变化，限制来源 IP 正是 MPIC 失败的典型原因。
- **MPIC 只影响 HTTP-01。** 基于 DNS 的验证和 CAA 检查同样适用。
- **MPIC 能防御 DNS 服务商被攻破。** 如果权威 DNS 本身被攻破，所有视角看到的都是同一个错误答案。

## 相关术语

- [DCV](https://ssl.sh/zh/glossary/dcv/): DCV 即域名控制权验证，是 CA 在签发证书前确认申请者确实控制证书中每一个域名的检查。
- [CAA 记录](https://ssl.sh/zh/glossary/caa/): CAA 记录是一种 DNS 记录，用来声明哪些证书颁发机构可以为该域名签发证书，所有公共 CA 签发前都必须检查。
- [Baseline Requirements](https://ssl.sh/zh/glossary/baseline-requirements/): Baseline Requirements 是 CA/B 论坛制定的基线要求，规定公开信任的 CA 在验证、签发和吊销 TLS 服务器证书时必须遵守的规则。
- [HTTP-01](https://ssl.sh/zh/glossary/http-01/): HTTP-01 是一种 ACME 验证方式，客户端通过 80 端口以普通 HTTP 提供 CA 指定的令牌内容来证明域名控制权。
- [DNS-01](https://ssl.sh/zh/glossary/dns-01/): DNS-01 是一种 ACME 验证方式，客户端在 _acme-challenge 子域名下发布由 CA 质询计算出的 TXT 记录来证明域名控制权。
- [ACME](https://ssl.sh/zh/glossary/acme/): ACME 是 IETF 标准协议（RFC 8555），让软件自动向 CA 证明域名控制权，并自动申请、续期和吊销证书。
- [Let's Encrypt](https://ssl.sh/zh/glossary/let-s-encrypt/): Let's Encrypt 是由非营利组织 ISRG 运营的免费、自动化证书颁发机构，通过 ACME 协议签发域名验证型 TLS 证书。