TLS 基线要求 2.3.0：DNSSEC 验证条款集中整理
SC100 将相关验证要求归并至新章节。网站运维需要区分 CA 的验证要求与自身 DNS 配置责任。
本文目录
事件回顾
2026 年 9 月 7 日，CA/Browser Forum 的 servercert 仓库发布 TLS 基线要求 2.3.0。发布说明将 SC100 概括为 DNSSEC 条款的澄清与整合，把第 3.2.2.4 和 3.2.2.8 节的相关要求集中到新设的第 3.2.2.10 节。
对网站业务的影响
条款位置调整不等于所有网站立即需要改动 CDN 或重新签发证书。对网站团队，更直接的工作是保持域名验证链路可用：权威解析、CAA、DNSSEC 状态和自动化验证记录，都可能影响证书申请与续期。
运维建议
建议将 DNS 服务商迁移与证书续期放在同一变更检查中。更换解析服务或调整 DNSSEC 时，核对父区记录与实际签名配置是否一致，再从外部验证解析和证书申请路径；不要在不确认依赖的情况下直接删除验证记录。