S/MIME 证书配置文件

使用 SHA‐256、SHA‐384 或 SHA‐512 的 RSA 算法。或者使用 SHA‐256、SHA‐384 或 SHA‐512 的 ECDSA 算法。

必须与发证 CA 的“持有者 DN”的每一字节都一致。

“notBefore”和“notAfter”之间的差值

“notBefore”和“notAfter”之间的差值必须不超过 20 年，最好不超过 10 年。

应指明 CA 的用途。

RSA 模数为 2048、3072 或 4096 位的 rsaEncryption。或者使用 secp256r1 或 secp384r1 的 ecPublicKey。

必须设置的位位置：
keyCertSign
可以设置的位位置：
cRLSign
digitalSignature
如果直接用于签署 OCSP 响应，则必须存在：
digitalSignature

不能设置其他位的位置

基本限制条件

cA 字段必须设置为 true
pathLenConstraint 字段应存在且应为 0

应提供用于标识 CA 运营所依据的政策的 policyIdentifier，且不应为 anyPolicy。
如果存在 cps，则必须包含有效的 HTTP 或 HTTPS 链接。

必须至少存在一个可公开访问的 HTTP
uniformResourceIdentifier。

执行撤消操作的服务器必须遵循 CA/浏览器论坛出版的《关于颁发和管理受大众信任的证书的基本要求和证书政策》第 1.3.2 版或更高版本的下列部分：

• 4.9.7. CRL 颁发频率
• 4.9.9. 在线撤消/状态检查可用性
• 4.9.10. 在线撤消检查要求
• 4.10.2. 服务可用性

可包含。

必须大于零 (0)，并且必须包含至少 64 个不可预测的位。

注意：将更新为反映 CA/Browser Forum Baseline Requirements Certificate Policy 最终实体序列号熵要求。

必须与发证 CA 的“持有者 DN”的每一字节都一致。

“notBefore”和“notAfter”之间的差值必须不大于 27 个月。

notBefore 时间必须为签名时间前后 48 小时。

在签发电子邮件地址以外的任何主题相对专有名称之前，必须使用公开记录且经过审核的程序进行严格验证。如需了解可接受的程序，请参阅 CA/Browser Forum Baseline Requirements Certificate Policy for the Issuance and Management of Publicly-Trusted Certificates（版本 1.3.2 或更高版本）的第 3.2.3 节“Authentication of Individual Identity”（个人身份验证）。

此外，只要有电子邮件地址（例如 commonName 或 emailAddress 字段的地址），就必须在“持有人备用名称”扩展程序中将此地址作为 rfc822Name 包含在内。

RSA 模数为 2048、3072 或 4096 位的 rsaEncryption。或者使用 secp256r1 或 secp384r1 的 ecPublicKey。

必须为以下用途设置位位置：
digitalSignature
和/或
nonRepudiation/contentCommitment
可以为以下用途设置位位置：
dataEncipherment
keyEncipherment

不能设置其他位的位置。

必须设置以下用途的位位置：
digitalSignature
可以设置以下用途的位位置：
nonRepudiation/contentCommitment
keyAgreement
encipherOnly（如果设置了 keyAgreement）
decipherOnly（如果设置了 keyAgreement）

不能设置其他位的位置。

必须存在：
emailProtection
不得存在：
serverAuth
codeSigning
timeStamping
anyExtendedKeyUsage

基本限制条件

如果存在，则 cA 字段不得设置为 true
pathLenConstraint 字段不得存在

必须存在：必须提供用于标识证书签发所依据的政策的 policyIdentifier，且不得为 anyPolicy。

可以存在：cps（如果存在），必须包含有效的 HTTP 或 HTTPS 链接，指向签发证书所依据的 CPS。

授权信息访问权限

caIssuers 和 ocsp（如果存在）必须包含至少一个可公开访问的 HTTP 统一资源标识符。

AccessDescription 不能包含特定于个别证书的任何标签或参数。

必须至少存在一个可公开访问的
HTTP 统一资源标识符

（注意事项）

撤消服务器必须按照 CA/Browser Forum Baseline Requirements Certificate Policy for the Issuance and Management of Publicly-Trusted Certificates（版本 1.3.2 或更高版本）的以下部分运行：

• 4.9.7. CRL 颁发频率
• 4.9.9. 在线撤消/状态检查可用性
• 4.9.10. 在线撤消检查要求
• 4.10.2. 服务可用性

持有者备用名称

必须包含至少一项 rfc822Name 类型的内容。
不得包含以下类型的项：
dNSName
iPAddress
uniformResourceIdentifier
必须通过公开记录且经过审核的措施来验证每个 rfc822Name，以确保提交请求的实体控制着与相应电子邮件地址关联的电子邮件账号，或者已获得电子邮件账号持有人的授权，可以代表账号持有人行事。

任何其他扩展程序