01 · 标准与治理演进时间线（2024—2029）
| 时间 | 事件与影响 |
|---|---|
| 2024.7—8 | CA/B Forum通过Ballot SC-067v3（MPIC）：域名验证与CAA检查进入多视角时代，2025年9月15日起分阶段强制（2→3→4→5个远程视角，至2026年12月15日） |
| 2024.12 | Let's Encrypt宣布终止OCSP服务，2025年8月6日正式关闭响应器——吊销查询的CA侧基础设施收缩，短寿命逻辑进一步强化（吊销机制讨论归子课题04） |
| 2025.1 | Let's Encrypt宣布6天证书与IP地址证书计划（1月16日）、证书配置文件机制（1月9日）、终止到期邮件通知（1月22日）——自动化责任完全移交订阅者 |
| 2025.4.11 | CA/B Forum通过Ballot SC-081v3（Apple提案，25票赞成、0反对、5票弃权）：有效期398→200（2026-03-15）→100（2027-03-15）→47天（2029-03-15），DCV复用期终态10天 |
| 2025.6 | RFC 9773（ARI）发布——CA主动调度续签的协议基础确立 |
| 2025.9 | NGINX宣布原生ACME支持——最后一块主流Web服务器拼图就位 |
| 2025.11—12 | Let's Encrypt公布Generation Y证书层级（11月24日）与《Upcoming Changes to Let's Encrypt Certificates》社区公告（12月15日），并给出90→64→45天证书寿命路线图（12月2日博客） |
| 2026.1.15 | Let's Encrypt 6天短寿命证书GA（160小时）；组织可经profile正式启用 |
| 2026.2—5 | Let's Encrypt新证书自2月11—12日起移除TLS客户端认证EKU，tlsclient过渡profile可用至2026年7月8日；5月8日发生交叉证书EKU配置事件后，切换至Generation Y信任层级的计划由5月13日调整，classic profile于5月20日率先切换、5月27日全部完成——双向TLS使用公共证书的组织须完成迁移 |
| 2026.3.15 | SC-081v3第一阶段生效（200天上限）+ SC-085v2生效（CA对CAA查询执行DNSSEC校验）——同日双改，DNSSEC配置质量成为签发前置条件 |
| 2027.3.15 | 100天上限生效；同日Chrome根程序要求CA为所有证书配置文件提供自动化能力、订户证书仅允许serverAuth EKU——"无自动化不签发"制度化 |
| 2029.3.15 | 47天上限+10天DCV复用终态生效——月级续签成为全行业默认形态 |
时效性声明：以上时间表为撰写时（2026年）公开口径；CA/B Forum ballot、Chrome根程序政策与各CA实施细节可能修订，工程落地务必以cabforum.org与各CA官方最新文本为准。CA/B Forum关于多用途PKI层级退坡的安排（2026年6月15日起分阶段执行）与更远期的证书寿命缩短讨论仍在进程中，本课题持续跟踪。
02 · 前沿方向观察
- 挑战类型演进：dns-account-01 / dns-persist-01草案针对多CDN与凭据运维痛点（第3页）；IP标识符（RFC 8738）随短寿命证书进入实用阶段；
- 透明化与吊销机制演进：CRLite（增量式吊销过滤器，Firefox 137起实装）、Sunlight静态CT API与Merkle Tree Certificates等提案，正在重构"证明未被吊销"的成本结构——与OCSP退潮（第5页）共同构成短寿命时代的信任基础设施底座；
- 后量子迁移：NIST FIPS 203/204/205（2024年8月发布）后，证书与ACME流水线的PQC化（混合签名证书、更大密钥/证书体积对MTU与握手的影响、HSM的PQC支持）进入规划期——自动化流水线须具备"算法可切换"的加密敏捷性；
- 机器身份融合：证书自动化与工作负载身份体系（SPIFFE/SPIRE）的边界正在融合，企业CLM品类独立化（Venafi收购案）标志"机器身份管理"成为独立赛道；
- 国密对照：国密体系（SM2双证书、TLCP）的证书自动化实践处于早期：国密ACME服务端实现开始出现，密评对密钥管理合规的要求与ACME凭据治理（第6页）在方法层可复用——本子课题治理框架向国密场景的迁移是开放研究点（子课题05协同）。
03 · 中国合规语境下的落地要点
- 商用密码合规：《密码法》与商用密码应用安全性评估（密评）对证书体系的算法合规、密钥管理合规提出要求——使用公共信任证书承载关基业务时，应评估SM算法支持与混合部署策略；内部PKI采用ACME自动化时，密钥托管与操作留痕须满足密评要求；
- 数据与审计：证书台账、ACME订单日志、CT对账数据属运营审计资料，留存期限与访问控制对齐等保与内部审计制度；涉及个人信息（域名持有者可识别信息）的监测活动遵循《个人信息保护法》（子课题02合规边界一致）；
- 关基与供应链：关键信息基础设施运营者的证书服务依赖（CA、DNS提供商、CLM厂商）纳入供应链安全管理；多CA冗余策略（第7页）同时是合规连续性的要求；
- 监管协同：依托公共互联网反网络钓鱼工作组机制，证书层IOC（签发CA、指纹、时间线）纳入协同处置流程，支撑域名层与信任层联动（子课题02/01）。
04 · 治理实施路线图（三阶段）
- 阶段一（2026，对齐200天上限生效）：完成资产盘点与台账化（L3），消灭"人工续签"存量；建立部署验证与多级告警；ARI支持列为客户端选型硬指标；DNSSEC配置全面核查（SC-085v2已生效）；
- 阶段二（2027，对齐100天上限）：应急韧性建设（L4）——多CA冗余、断路器、年度实战演练；DCV复用100天阶段下验证链路容量评估；邮件监测替代完成；
- 阶段三（2028—2029，对齐47天终态）：短寿命证书从试点走向默认（Let's Encrypt已公布90→64→45天路线图：2026年5月起经tlsserver profile可选择加入、2027年2月10日起默认64天、2028年2月16日起默认45天——以官方公告为准）；加密敏捷能力（算法可配置切换）；47天全量运行+10天DCV复用下的持续验证水位保持。
05 · 开放问题与研究展望
- ARI采用度爬坡：协议已标准化，生态采用（存量客户端运行形态、告警配套）是最大变量——需要社区与厂商持续推动，建议组织将"ARI覆盖率"纳入供应商考核；
- 47天时代的DCV容量：每域名年验证7~8次×多视角×全球CA总量，DNS提供商API与CA验证基础设施的总容量是否平滑承载，缺乏公开测量——值得学术与产业联合测量（本子课题后续方向）；
- 6天证书的攻防再平衡：钓鱼基础设施与防御方同样获得短窗口机制，其净效应需要数据检验（与子课题01联合测量）；
- 国密自动化：国密ACME的标准化与实践样本稀缺，是中文语境下最具差异化的研究空白。
本节参考来源（本页）
以下均为真实可查的权威来源，用于支撑本页事实性表述。
CA/B Forum Ballots（SC-081v3、SC-067v3、SC-063、SC-085v2）与Baseline Requirements现行文本：cabforum.org。
Chrome Root Program Policy v1.8（2027年3月15日自动化与serverAuth要求）：chromium.org。
IETF RFC 9773（2025年6月）、RFC 8738（IP标识符）、dns-account-01/dns-persist-01草案：datatracker.ietf.org/wg/acme。
Let's Encrypt官方公告原文（均经逐一核实）：6天证书与IP证书计划（2025年1月16日）、证书配置文件（2025年1月9日）、《Upcoming Changes to Let's Encrypt Certificates》社区公告（2025年12月15日）、Generation Y层级（2025年11月24日）、90→64→45天路线图（2025年12月2日）、6天证书GA（2026年1月15日）、TLS客户端认证终止（2025年5月14日）。
NIST FIPS 203/204/205（2024年8月发布）：csrc.nist.gov/projects/post-quantum-cryptography；《中华人民共和国密码法》及商用密码应用安全性评估相关公开文件：oscca.gov.cn。