Кратко

  • 15 октября Let’s Encrypt объявила о переходе с четырёх удалённых точек проверки на шесть. Вместе с основной точкой получается семь запросов. 27 октября организация подтвердила, что шесть удалённых точек используются в тестовой среде.
  • Таблица кворума CA/Browser Forum разрешает одно неподтверждение при двух–пяти удалённых точках и два при шести или более. Подтверждающие точки должны находиться в двух зонах обслуживания RIR. Запуск в основной среде намечен на 10 ноября при успешных испытаниях.

Сервер ответил. Кто ещё это видел?

Администратор сайта размещает ответ на запрос проверки домена. Из его офиса страница открывается, и задача кажется законченной. У центра сертификации иной маршрут к ответу. Если злоумышленник перенаправит BGP-маршрут, одна проверяющая машина может попасть на подменённый сервер. Она увидит правильный ответ в неправильном месте. Выданный после этого сертификат будут принимать браузеры, которым неизвестно, каким путём шёл запрос проверки.

Проверка с нескольких сетевых позиций заставляет удалённые точки подтверждать вывод основной: доказан ли контроль над доменом, разрешает ли CAA выпуск сертификата. В сообщении самой Let’s Encrypt от 15 октября говорится о двух дополнительных удалённых точках к прежним четырём. 27 октября в том же обсуждении оператор сообщил о шести точках в тестовой среде. Основной запуск планируется на 10 ноября, если тест пройдёт успешно. Проверенная ветка пока не содержит сообщения о состоявшемся запуске в основной среде.

Действующие базовые требования CA/Browser Forum с 15 июня 2026 года требуют минимум четыре удалённые точки для соответствующих проверок, а с 15 декабря потребуют пять. Кроме того, удалённые точки, подтвердившие вывод основной, должны находиться как минимум в двух разных зонах обслуживания RIR. Шесть точек на красивой карте ещё не выполняют условие: важно, откуда поступили именно согласные ответы.

Шестая точка покупает второе расхождение

Таблица кворума коротка. Если используются от двух до пяти разных удалённых точек, допускается одно отсутствие подтверждения. Если шесть и больше — два. При шести точках четыре согласных ответа могут позволить выпуск, даже если две другие проверки разошлись с основной или не дали подтверждения, при соблюдении остальных условий. При пяти точках тоже нужны четыре согласных ответа, зато место есть только для одного расхождения. Дополнительная точка даёт право пережить вторую неудачную проверку, не уменьшая в этом примере число положительных.

Точки должны быть самостоятельными. Требования считают сетевые позиции различными, когда расстояние между ними по прямой не меньше 500 километров; удалённые позиции также должны отличаться от основной и друг от друга в составе кворума. Если центр сертификации использует разные наборы позиций для контроля домена и CAA, каждый набор набирает свой кворум. Общий DNS-кеш не может превращать один ответ в несколько независимых свидетельств. Повторить проверку можно сразу, даже другим методом, но подтверждения из прежней попытки не переносятся. Нельзя собирать победившее большинство из удачных кусков нескольких проигранных раундов.

Операторская запись 2024 года фиксирует четыре удалённые позиции в основной среде с 27 марта того года. Новое сообщение фиксирует шесть в тестовой. Let’s Encrypt связывает расширение с защитой от атак на BGP-маршрутизацию. Механизм понятен: один обманутый путь встречает другие независимые наблюдения и требование двух зон обслуживания. Опубликованной статистики перехваченных атак или отказов тестовой среды в проверенном сообщении нет.

Отказу нужна конкретная причина

Если кворум или условие двух зон не выполнены, правила предписывают центру сертификации не выдавать сертификат. Для сайта с автоматическим продлением это жёсткое решение. Локально ответ на запрос проверки может быть доступен, а из другой сети — нет. Причина бывает в самом ответе, недоступном маршруте, запрете CAA или географии согласных ответов. В каждом случае исправляют разное.

Форум разрешает немедленную новую попытку, но требует свежих подтверждений. Повтор может устранить временный сбой связи. Повтор не даёт центру права взять удачные голоса из старого раунда и добавить новые до нужной суммы. Поэтому оператор выпуска должен различать причины отказа и сохранять границу между попытками. Сообщение «проверка не удалась» без этой причины оставляет владельца сайта гадать, что чинить.

В опубликованной октябрьской ветке нет доли успешных проверок, задержек или числа остановленных продлений. Следующей проверяемой вехой станет датированное сообщение о шести точках в основной среде. Затем сводные причины отказов покажут реальную цену и пользу новой конфигурации. Пока подтверждены тестовый запуск и условный план основного запуска.

CA/Browser Forum устанавливает правило подсчёта, Let’s Encrypt размещает и эксплуатирует наблюдателей, заявитель несёт последствия отказа. Сертификат — итог. Управленческое решение происходит раньше, когда подсчитывают сетевые свидетельства.