Промени във валидацията по домейн за издаване на SSL сертификати през 2021 г.

CA/B Forum, регулаторът на индустрията за SSL сертификати, одобри няколко промени, свързани с политиката за валидация по домейн. Промените се прилагат спрямо всички нови сертификати, както и спрямо сертификатите, които се преиздават, и старите такива, които се подновяват. Вече издадените SSL/TLS сертификати ще продължат да бъдат валидни (не е необходимо същите да бъдат променяни).

Необходимо е да се извършва повторна валидация по домейните на всеки 398 дни

Считано от 01 октомври 2021 г., повторна валидация по домейните (FQDNs) ще трябва да се извършва на всеки 398 дни. Същото се прилага и спрямо повторната валидация на IP адресите. Тази промяна е отбелязана в Ballot SC42. За валидация на организацията (OV) се запазва същият период за повторно използване на данни от 825 дни. 

Разширената валидация (EV) в този случай остава незасегната, тъй като домейните с EV сертификати вече изискват повторна валидация всяка година.

Валидацията за контрол над домейн (DCV), която използва File Authentication, е променена

CA/B Forum извърши някои промени по проверката на файл-базирани домейни. Методът за контрол на валидацията над файл-базирани домейни ще бъде деактивирана за wildcard сертификати. В същото време, такава валидация е възможна за отделни поддомейни.

Методите за контрол на валидацията над имейл- и DNS-базирани домейни няма да бъдат засегнати.

Промените в политиката на CA/B Forum изисква отделна файл-базирана валидация за всеки FQDN. В същото време, базираната на имейл и DNS валидация ще продължи да работи за wildcard сертификати. Същата може да се използва за валидация на всички поддомейни на един верифициран домейн. Тази промяна ще влезе в сила на 01 декември 2021 г.

Необходимо ли е да направя нещо друго?

Не се изискват неотложни действия.

За да се подготвите по-добре за тези промени, препоръчваме методът за валидация по домейн да бъде променен на имейл или DNS за wildcard сертификатите и за сертификатите за множество домейни. File authentication е подходяща само за отделни домейни (тя вече няма да покрива цялото пространство на домейна в рамките на верифицирания домейн).

Абонирайте се за нашия бюлетин, за да сте в крак с последните събития от света на SSL!