S/MIME 憑證設定檔

使用 SHA‐256、SHA‐384 或 SHA‐512 的 RSA，或使用 SHA‐256、SHA‐384 或 SHA‐512 的 ECDSA。

每個位元組都必須與核發的 CA 的主體 DN 完全相同。

notBefore 和 notAfter 之間的間隔時間

不應超過 10 年，且不得超過 20 年。

應指出 CA 的用途。

RSA 模數為 2048、3072 或 4096 的 rsaEncryption，或是使用 secp256r1 或 secp384r1 的 ecPublicKey。

必須為下列項目設定位元位置：
keyCertSign
可為下列項目設定位元位置：
cRLSign
digitalSignature
如果直接用於簽署 OCSP 回應，則必須存在：
digitalSignature

不得設定其他位元位置

基本限制

cA 欄位必須設為 true
pathLenConstraint 欄位應存在且應為 0

應提供 policyIdentifier，用來識別 CA 運作所依據的政策，且不應為 anyPolicy。
如有 cps，必須包含有效的 HTTP 或 HTTPS 連結。

至少須有一個可公開存取的 HTTP 統一資源識別碼。

請參閱 CA/瀏覽器論壇所發行的《核發和管理公開信任憑證的基本要求憑證政策》1.3.2 以上版本，執行撤銷作業的伺服器必須遵循下列章節的規定：

• 4.9.7. CRL 產生頻率
• 4.9.9. 線上憑證與廢止憑證狀態查核功能
• 4.9.10. 線上廢止憑證查核需求
• 4.10.2. 服務適用情形

可提供。

必須大於零 (0)，且包含至少 64 個不定位元。

注意：將更新以反映 CA/Browser Forum Baseline Requirements Certificate Policy 的終端實體序號熵要求。

每個位元組都必須與核發的 CA 的主體 DN 完全相同。

notBefore 和 notAfter 的間隔時間不得超過 27 個月。

notBefore 時間必須是簽名時間前後 48 小時。

核發憑證前，必須使用公開記錄且經過稽核的程序，嚴格驗證電子郵件地址以外的任何主體相對識別名稱。如需可接受的程序，請參閱 CA/Browser Forum Baseline Requirements Certificate Policy for the Issuance and Management of Publicly-Trusted Certificates 第 1.3.2 版或更新版本，瞭解第 3.2.3 節「Authentication of Individual Identity」。

在「主體別名」附加資訊中，必須包含任何以 rfc822Name 形式列出的電子郵件地址 (例如 commonName 或 emailAddress 欄位中的地址)。

RSA 模數為 2048、3072 或 4096 的 rsaEncryption，或是使用 secp256r1 或 secp384r1 的 ecPublicKey。

必須為下列任一項目設定位元位置：
digitalSignature
和/或
nonRepudiation/contentCommitment
可為下列項目設定位元位置：
dataEncipherment
keyEncipherment

不得設定其他位元位置。

必須為下列項目設定位元位置：
digitalSignature
可為下列項目設定位元位置：
nonRepudiation/contentCommitment
keyAgreement
encipherOnly (如果已設定 keyAgreement)
decipherOnly (如果已設定 keyAgreement)

不得設定其他位元位置。

必須存在：
emailProtection
不得存在：
serverAuth
codeSigning
timeStamping
anyExtendedKeyUsage

基本限制

如果存在，cA 欄位不得設為 true
pathLenConstraint 欄位不得存在

必須存在：必須提供 policyIdentifier，用來識別核發憑證的政策，且不得為 anyPolicy。

可能存在：cps，如果存在，必須包含有效的 HTTP 或 HTTPS 連結，指向核發憑證的 CPS。

授權單位資訊存取權

caIssuers 和 ocsp (如有) 必須包含至少一個可公開存取的 HTTP uniformResourceIdentifier。

AccessDescription 不得包含屬於任何個別憑證的標籤或參數。

至少須有一個可公開存取的
HTTPuniformResourceIdentifier

(注意事項)

撤銷伺服器必須按照 CA/Browser Forum Baseline Requirements Certificate Policy for the Issuance and Management of Publicly-Trusted Certificates (公開信任憑證核發與管理基本要求憑證政策) 第 1.3.2 版或更新版本中的下列章節運作：

• 4.9.7. CRL 產生頻率
• 4.9.9. 線上憑證與廢止憑證狀態查核功能
• 4.9.10. 線上廢止憑證查核需求
• 4.10.2. 服務適用情形

主體別名

必須包含至少一個 rfc822Name 類型的項目。
不得包含下列類型的項目：
dNSName
iPAddress
uniformResourceIdentifier
必須使用公開記錄且經過稽核的措施驗證每個 rfc822Name，確保提交要求的實體控管與電子郵件地址相關聯的電子郵件帳戶，或已獲得電子郵件帳戶持有人授權，可代表帳戶持有人行事。

其他附加資訊