多视角域名验证（MPIC）成为 CA 强制要求

从 2025 年 3 月 15 日起，公开信任的 CA 在签发证书前，必须从多个不同的网络位置确认域名控制权和 CAA 记录，而不是只从自己的机房查一次。这项要求叫“多视角签发佐证”，即 MPIC，来自 CA/B 论坛的 SC-067v3 投票，分阶段实施到 2026 年 12 月。目的是防止攻击者用 BGP 劫持等手段在局部截获验证流量，冒领别人域名的证书。

发生了什么

CA/B 论坛在 2024 年 8 月通过了 SC-067v3。按照修改后的 Baseline Requirements，CA 在主验证点完成域名验证和 CAA 查询之后，还要由一组远程网络视角重复同样的检查，并且要有足够多的视角得出一致结论。分阶段要求如下：

各视角之间至少相距 500 公里。RIR 区域指五大地区互联网注册机构（ARIN、RIPE NCC、APNIC、LACNIC、AFRINIC）各自的服务范围。也就是说，验证请求一定会来自不止一个大洲。

影响谁

普通站长一般感觉不到 MPIC，但它改变了验证流量的来源，下面几类配置最容易出问题：

• HTTP-01 验证：CA 会从多个网络去访问 /.well-known/acme-challenge/ 下的验证文件。国内不少服务器在云安全组、宝塔面板防火墙或 WAF 上设置了“只允许中国大陆 IP”或屏蔽境外访问，这样一来部分视角访问失败，订单就会被拒绝。
• DNS-01 验证：TXT 记录必须在全球解析结果一致。如果开启了按地区返回不同结果的智能解析，或者 DNS 服务对境外查询限速、丢包，就可能出现视角之间结论不一致。
• TLS-ALPN-01 验证：同样要求 443 端口能被多个地区访问到。
• CAA 记录：CAA 查询也要多视角确认，只在部分地区可见的 CAA 记录可能直接导致无法签发。

Let's Encrypt 不公布固定的验证 IP 列表，MPIC 之后靠 IP 白名单放行验证流量就更不现实了。

需要做什么

让 80 端口的验证路径对所有来源开放（其余请求仍可跳转到 HTTPS）；如果 80 端口必须对境外关闭，就改用 DNS-01。国内用户可以用 acme.sh 配合阿里云解析或 DNSPod 的 API 自动添加 TXT 记录，例如：

export Ali_Key="<AccessKey ID>"
export Ali_Secret="<AccessKey Secret>"
acme.sh --issue --dns dns_ali -d example.com -d '*.example.com'

然后检查相关记录在不同网络下是否一致：

curl -sI http://example.com/.well-known/acme-challenge/test
dig +short CAA example.com
dig +short TXT _acme-challenge.example.com @223.5.5.5
dig +short TXT _acme-challenge.example.com @8.8.8.8

第一条命令返回 404 没关系，超时或连接被重置才是问题。如果签发时报连接超时，参考 certbot 连接超时；如果被 CAA 拦截，参考 CAA 记录阻止签发。可以用 CAA 检测工具查看域名授权了哪些 CA，CAA 记录指南讲解了具体写法。