站长/开发者/IT管理员请注意：DigiCert吊销大量不符合规范的CNAME验证TLS证书
内容提要
DigiCert吊销了不符合规范的CNAME验证的TLS证书，要求重新验证并更换证书。
延伸解读
CNAME验证的下划线规则
文章指出，使用CNAME进行域验证时，验证前缀必须包含下划线，否则被视为不合规。这是CA/浏览器论坛（CABF）的规则要求。DigiCert此次吊销正是因为部分CNAME验证缺少下划线前缀。对于依赖CNAME验证的站长，应检查自己的DNS记录是否符合规范，避免因验证方式错误导致证书被吊销。
吊销影响范围与紧急应对
DigiCert吊销了约0.4%的域验证证书，估计影响几万份证书。受影响的客户已收到邮件通知，需立即重新验证并更换证书。若未及时更换，网站、服务器或应用程序将无法正常连接。即使证书不是DigiCert直接签发，但若其根证书来自DigiCert，也可能受影响，建议咨询中级CA确认。
对DigiCert声誉的潜在影响
文章认为，此次事件对DigiCert来说比较严重，可能影响其在CA领域的声誉。因为未遵守CABF规则属于不合规操作，DigiCert决定在24小时内吊销所有问题证书，即使可能影响客户使用。这反映了CA机构在合规与客户体验之间的权衡，也提醒用户关注证书颁发机构的合规记录。
替代方案：免费证书的可行性
文章提到，蓝点网已从DigiCert换用Let's Encrypt的免费数字证书，从而避免了此次问题。对于预算有限的个人站长或小型项目，免费证书如Let's Encrypt可作为替代选择，但需注意其验证方式和有效期管理。不过，是否适合所有场景仍需根据实际需求评估。
Q&A
DigiCert为什么吊销TLS证书？
DigiCert吊销TLS证书是因为在CNAME验证时未正确使用下划线前缀，违反了CA/浏览器论坛的规则。
受影响的证书占DigiCert证书的多少？
受影响的证书约占DigiCert域验证证书的0.4%，可能影响几万份证书。
如果不及时更换证书，会有什么后果？
未及时更换证书的网站、服务器或应用程序将无法正常连接。
DigiCert是如何通知受影响客户的？
DigiCert已通过电子邮件通知所有受影响的客户，要求他们立即重新验证并更换证书。
DigiCert的声誉会受到什么影响？
DigiCert的声誉可能受到影响，因为未遵守CABF规则被视为不合规操作。
蓝点网是如何应对这一问题的？
蓝点网已更换为Let’s Encrypt提供的免费数字证书，避免了此次问题的影响。
