摘要

  • Let’s Encrypt 在 10 月 15 日宣布把远端验证点从四个增至六个，连同主要数据中心共发起七次验证请求；10 月 27 日又确认六个远端点已经用于测试环境。
  • CA/Browser Forum 的现行规则规定，使用二至五个不同远端点时最多容许一次未佐证；使用六个及以上时容许两次。佐证成功的远端点还须分布在两个 RIR 服务区。生产切换计划定于 11 月 10 日，取决于测试结果。

一张证书先经过几条路

网站管理员在服务器上放好验证响应，从自己办公室访问，看起来一切正常。证书颁发机构面对的是另一张地图。某条 BGP 路由如果被劫持，单一验证点可能被带到错误的服务器，看到一份精心准备的响应。浏览器日后却会信任由此签出的证书。验证一个域名的控制权，因此不能只靠一个网络视角。

多视角签发佐证把主要观察点的判断交给多个远端点复核。它同时适用于相关的域名控制验证和 CAA 授权检查。Let’s Encrypt 的一手公告在 10 月 15 日说明扩容方案：原来四个远端点，增加两个，连同主要点共发出七次请求。10 月 27 日，机构在同一公告串确认“测试环境现在使用总共六个远端网络视角”。它把生产部署安排在 11 月 10 日，前提是测试顺利。已核查的公告串尚无生产切换回执。

CA/Browser Forum 的现行基本要求设了两道门。2026 年 6 月 15 日起，适用的验证至少需要四个远端点；12 月 15 日起提高到五个。真正佐证主要点的远端点还须覆盖至少两个不同 RIR 服务区。把六个机房标在地图上，并不会自动满足第二道门；若赞成结果都来自同一服务区，地理多样性仍然不够。

第六票怎样改变结果

规则中的表格非常直白：二至五个不同远端点，最多一次未佐证；六个及以上，最多两次。六个点里四个给出一致结果，另外两个不同意或没有给出可用佐证，仍可能过关，前提是其他要求全部满足。五个点也需要四个一致结果，却只能承受一个异议。多部署一个独立观察点，换来容许第二个不一致的空间；四个有效赞成票并没有凭空减成三个。

“独立”也有可执行的定义。规则要求不同网络观察点之间的直线距离至少 500 公里；远端点还要与主要点及同一法定人数里的其他点区分开。域名控制和 CAA 如果使用不同的观察点组合，每组分别达到法定人数。两个观察点不能共享前一处留下的 DNS 缓存，把同一个答案算成两个见证。重试可以立刻发生，也可以换验证方法；上一次尝试的佐证不得带进下一次。发证机构可以重新问，不能从几轮失败里挑出最好看的票拼成多数。

2024 年的运营公告记录了当年 3 月 27 日四个远端点进入生产。2026 年的材料记录了下一步测试状态。Let’s Encrypt 说增加视角能提高抵御 BGP 攻击的能力。规则把这个主张落实成路径：一条被诱导的网络连接不足以代表其他远端点，跨服务区的佐证必须成立。这里没有公开的故障率或攻击拦截率可供代入。

拒发也得说清原因

若法定人数或两服务区条件不满足，基本要求直接禁止签发证书。这句话会落到网站的自动续签任务上。管理员本机看到挑战响应正常，远端观察点却可能无法得到同样结果。报错到底来自响应内容、线路可达性、CAA 禁止，还是赞成票所在区域不对？这些是四种不同的修复工单。

标准准许立即重试，却要求重新收集佐证。这个约束把诊断责任留给发证机构。网络暂时抖动时，新的尝试可以得到新的事实；把旧票继续使用则会抹掉争议发生的时间和路径。对于依赖证书续期的网站，机构应当把失败条件和重试结果分开记录，而不是把所有问题塞进一句“验证失败”。

10 月公告串没有公布测试通过率、额外时延或受阻续签数量。带日期的生产启用公告及其最终观察点数量，将确定下一状态；其后的汇总拒发原因才能检验第六个观察点到底买到了什么。目前可核实的只有测试启用和有条件的生产计划。

CA/Browser Forum 写计票规则，Let’s Encrypt 选择并运行观察点，申请人承担拒发后果。证书只是最终成品；谁的观察能过门，才是治理决定。