通配符 SSL 证书文件验证方式将停用：自 2021 年 11 月 15 日起，文件验证（File Based Validation）将不再是通配符 SSL 证书域名控制权验证（Domain Control Validation，DCV）的有效方式。
从 2021 年 11 月开始，确认通配符 SSL 证书的域名控制权将仅剩 DNS/CNAME 与邮件验证两种可选方式。CA/Browser 论坛（CA/Browser Forum）发布了编号为 Ballot SC 45 的投票（又称 Wildcard Domain Validation 通配符域名验证投票），该投票获得 22 家证书颁发机构与 5 个消费者团体通过。投票规定了通配符域名及其子域名验证的相关流程，并明确自 2021 年 11 月起，证书颁发机构（CA）不得再采用文件验证方式签发通配符 SSL 证书，只能使用 CNAME/DNS 与邮件验证流程来确认域名控制权。
为何做出这一变更？
CA/Browser 论坛推出该变更，旨在强化通配符域名的验证流程。文件验证方式仅能验证通配符证书中的主域名，却无法保证主域名层级下所包含的子域名同样受控。它无法证明 SSL 申请者拥有该域名的整个命名空间（namespace）。例如，文件验证在 domain.com 上完成，但它并不覆盖 blog.domain.com、mail.domain.com 以及主域名下的其他子域名。网络犯罪分子可能控制这些子域名并恶意地完成子域名验证。
这意味着，如果你购买的是通配符证书，证书颁发机构将只能使用 DNS 或邮件验证；如果你持有单独的 FQDN（完全限定域名）和其他 SAN 域名，则需要在文件验证方式下逐个验证每个 FQDN 或 SAN 域名。
Ballot SC 45 的具体内容
基线要求（Baseline Requirements）中用于验证整个域名命名空间的 3.2.2.4.6、3.2.2.4.18、3.2.2.4.19 等方法，自 2021 年 12 月 1 日起将失效。这些方法此前用于验证特定的主机与服务。CA/Browser 论坛在 Ballot SC 45 中的基线要求指出：
自 2021 年 12 月 1 日起，证书颁发机构在签发证书前，需使用单独的 DCV 方法逐个验证「以已验证 FQDN 的全部标签结尾的其他 FQDN」。生效日期之后，通配符域名将不能再使用文件验证方式进行验证。
DigiCert 与 Sectigo 将提前实施变更
不过，DigiCert 与 Sectigo 两家证书颁发机构将在截止日期前提前启动变更，以确保流程平稳运行、避免最后一刻出现意外问题。两家 CA 都将从 2021 年 11 月 15 日开始实施新变更。
这意味着，2021 年 11 月 15 日之前签发的证书仍可沿用原有的域名控制权验证方式；而在 2021 年 11 月 15 日及之后签发的证书，通配符证书将不再支持文件验证方式；对于非通配符证书，客户在使用文件验证方式时需逐个验证单独的 SAN 域名 / FQDN。
通过以下示例可以更准确地理解这一场景：
| 证书与域名覆盖 | 2021 年 11 月 15 日前 | 2021 年 11 月 15 日后 |
|---|---|---|
| *.domain.com 通配符证书 | CA 可使用全部三种验证方式（邮件、文件、CNAME） | 文件验证方式不再适用，仅可使用 CNAME/DNS 与邮件验证 |
| 为 domain.com 和 mail.domain.com 签发的含 SAN 证书 | CA 可使用全部三种验证方式（邮件、文件、CNAME） | CA 可使用 DNS 或邮件验证，或针对单独 SAN 域名完成文件验证 |
客户现在应该如何应对？
如果你从经销商处购买了通配符或多域名通配符 SSL 证书，在验证通配符 SSL 证书时可改用 DNS（CNAME）验证或邮件验证方式。建议提前规划证书续期与验证策略，确保域名控制权验证方式与新规保持一致，避免证书签发受阻。