什麼是基線要求？

基線要求是證書頒發機構（CA）必須遵守的一套規則與營運實務，只有遵循這些要求，其簽發的證書才能獲得瀏覽器信任。這些準則涵蓋安全協定、證書驗證與簽發實務，並且會定期更新以配合新技術、應對新挑戰。未能符合這些要求的證書頒發機構（CA）可能失去瀏覽器信任，導致其簽發的證書無法被公眾正常使用。

基線要求包含哪些內容？

基線要求內容篇幅很長，且針對不同證書類型設有差異化規則。這些要求幾乎涵蓋與證書相關的安全協定的所有可能範疇，包括實體安全與雲端安全、身份驗證實務、證書結構規範等，同時包含域名驗證、申請人與組織身份驗證、證書最長允許有效期的相關規則。

基線要求中有一項規定：每家證書頒發機構（CA）必須維護並公開證書實務聲明（CPS），用於明確自身的證書簽發實務。未遵守證書實務聲明（CPS）所載條款即構成對基線要求的違反，涉事證書頒發機構（CA）需採取整改措施，極端情況下可能需要吊銷相關證書。

一般而言，CA/B Forum 每年會通過多項投票表決修改基線要求。這些修改大部分為細節調整，但每年也會有少數幾項調整會對證書頒發機構（CA）的營運方式產生重大影響。例如，近期通過的一項投票明確了域名控制權驗證的新標準，這項調整將在未來數年持續影響證書頒發機構（CA）的營運。

基線要求更新頻繁的核心原因是，早期版本的部分條款表述模糊、存在解讀空間。隨著新問題出現、新技術進入市場，基線要求必須同步迭代以應對這些變化。

CA/Browser Forum 是自願性組織，不具備執法權力。實際的約束來自各大瀏覽器：每家主流瀏覽器都有自身的一套準則，證書頒發機構（CA）必須遵守這些準則，其根證書才能獲得瀏覽器信任並被納入根證書儲存區。各主流根證書計劃均明確要求，證書頒發機構（CA）必須持續符合基線要求。

如果某一瀏覽器的根證書儲存區決定不再信任某家證書頒發機構（CA）的根證書，那麼該CA簽發的公開信任證書將不再適用於需要公眾信任的使用場景。此外，證書頒發機構（CA）必須上報、公開其發現的所有不合規問題，允許公眾就違規事項提出質詢，最終實現對CA的問責。

如欲進一步了解CA/B Forum的基線要求，可收聽《Root Causes》第201期，《什麼是基線要求？》