Perfis de certificado S/MIME

RSA com SHA‐256, SHA‐384 ou SHA‐512. Ou ECDSA com SHA‐256, SHA‐384 ou SHA‐512.

Precisa ser idêntico (byte por byte) ao DN do titular da CA emissora.

Diferença entre "notBefore" e "notAfter"

Não deve ser maior que 10 anos e não pode exceder 20 anos.

Indica o uso da CA.

rsaEncryption com um módulo RSA de 2048, 3072 ou 4096. Ou ecPublicKey usando secp256r1 ou secp384r1

As posições de bits precisam ser definidas para:
keyCertSign
. As posições de bits podem ser definidas para:
cRLSign
digitalSignature
. Se usado diretamente para assinar respostas OCSP, precisa estar presente:
digitalSignature.

Outras posições de bits não podem ser definidas

Restrições básicas

Um campo cA precisa ser definido como "true"
O campo pathLenConstraint PRECISA estar presente e ser 0

Um policyIdentifier precisa ser fornecido para identificar a política em que a AC opera e não pode ser anyPolicy.
Se presente, a cps precisa conter um link HTTP ou HTTPS válido.

É necessário ter pelo menos um HTTP
uniformResourceIdentifier acessível publicamente.

Os servidores de revogação precisam ser operados de acordo com as seguintes seções da Política de requisitos de base do fórum da CA/do navegador para a emissão e o gerenciamento de certificados emitidos publicamente, versão 1.3.2 ou mais recente:

• 4.9.7. Frequência de emissão de CRL
• 4.9.9. Disponibilidade da verificação de status/revogação on-line
• 4.9.10. Requisitos de verificação da revogação on-line
• 4.10.2. Disponibilidade do serviço

Pode estar presente.

Precisa ser maior que zero (0) e precisa conter pelo menos 64 bits imprevisíveis.

Observação:será atualizado para refletir os requisitos de entropia do número de série da entidade final da Política de certificado de requisitos básicos do CA/Browser Forum.

Precisa ser idêntico (byte por byte) ao DN do titular da CA emissora.

A diferença entre notBefore e notAfter não pode ser maior que 27 meses.

A hora notBefore precisa representar a hora da assinatura mais ou menos 48 horas.

Todos os nomes distintos relacionados ao assunto, e não ao endereço de e-mail, precisam ser rigorosamente validados antes da emissão, usando um procedimento documentado e auditado publicamente. Consulte a seção 3.2.3 "Autenticação de identidade individual" da Política de certificado de requisitos básicos do CA/Browser Forum para emissão e gerenciamento de certificados confiáveis publicamente, versão 1.3.2 ou mais recente, para um procedimento aceitável.

Qualquer endereço de e-mail (por exemplo, nos campos "commonName" ou "emailAddress") também precisa estar presente na extensão de nome alternativo do titular como um rfc822Name.

rsaEncryption com um módulo RSA de 2048, 3072 ou 4096. Ou ecPublicKey usando secp256r1 ou secp384r1

As posições de bit precisam ser definidas para:
digitalSignature
e/ou
nonRepudiation/contentCommitment
. As posições de bit podem ser definidas para:
dataEncipherment
keyEncipherment

Outras posições de bits não podem ser definidas

As posições de bits precisam ser definidas para:
digitalSignature
. As posições de bits podem ser definidas para:
nonRepudiation/contentCommitment
keyAgreement
encipherOnly (se keyAgreement estiver definido)
decipherOnly (se keyAgreement estiver definido)

Outras posições de bits não podem ser definidas

Precisa estar presente:
emailProtection
Não pode estar presente:
serverAuth
codeSigning
timeStamping
anyExtendedKeyUsage

Restrições básicas

Se presente, o campo cA não poderá ser definido como verdadeiro
o campo pathLenConstraint não poderá estar presente

Precisa estar presente: um policyIdentifier que identifique a política em que o certificado foi emitido e não pode ser anyPolicy.

Pode estar presente: cps, se presente, precisa conter um link HTTP ou HTTPS válido para a CPS em que o certificado foi emitido.

Acesso às informações da autoridade

caIssuers e, se presente, ocsp precisam conter pelo menos um HTTP uniformResourceIdentifier acessível publicamente.

AccessDescription não pode conter marcadores ou parâmetros que sejam específicos de um certificado individual.

Pelo menos um HTTPuniformResourceIdentifier
acessível ao público precisa estar presente

(observação)

Os servidores de revogação precisam operar de acordo com as seguintes seções da Política de certificados de requisitos básicos do CA/Browser Forum para emissão e gerenciamento de certificados confiáveis publicamente, versão 1.3.2 ou mais recente:

• 4.9.7. Frequência de emissão de CRL
• 4.9.9. Disponibilidade da verificação de status/revogação on-line
• 4.9.10. Requisitos de verificação da revogação on-line
• 4.10.2. Disponibilidade do serviço

Nome alternativo do titular

Precisa conter pelo menos um item do tipo rfc822Name.
Não pode conter itens do tipo:
dNSName
iPAddress
uniformResourceIdentifier
Cada rfc822Name precisa ser verificado com medidas documentadas e auditadas publicamente para garantir que a entidade que envia a solicitação controle a conta de e-mail associada ao endereço de e-mail ou tenha sido autorizada pelo titular da conta de e-mail a agir em nome dele.

Qualquer outra extensão