S/MIME 憑證設定檔

使用 SHA‐256、SHA‐384 或 SHA‐512 的 RSA，或使用 SHA‐256、SHA‐384 或 SHA‐512 的 ECDSA。

每個位元組都必須與核發的 CA 的主體 DN 完全相同。

notBefore 和 notAfter 之間的間隔時間

不應超過 10 年，且不得超過 20 年。

應指明使用 CA。

RSA 模數為 2048、3072 或 4096 的 rsaEncryption，或是使用 secp256r1 或 secp384r1 的 ecPublicKey。

必須為下列項目設定位元位置：
keyCertSign
可為下列項目設定位元位置：
cRLSign
digitalSignature
如要直接用於簽署 OCSP 回應，必須包含：
digitalSignature

不得設定其他位元位置

基本限制

cA 欄位必須設為 True
應包含 pathLenConstraint 欄位，且值為 0

應提供 policyIdentifier 來指定 CA 運作時遵循的政策，且不應為 anyPolicy。
cps (如果有的話) 必須包含有效的 HTTP 或 HTTPS 連結。

至少一個可公開存取的 HTTP
uniformResourceIdentifier 必須存在。

請參閱 CA/瀏覽器論壇所發行的《核發和管理公開信任憑證的基本要求憑證政策》1.3.2 以上版本，執行撤銷作業的伺服器必須遵循下列章節的規定：

• 4.9.7. CRL 產生頻率
• 4.9.9. 線上憑證與廢止憑證狀態查核功能
• 4.9.10. 線上廢止憑證查核需求
• 4.10.2. 服務適用情形

可提供。

必須大於零 (0)，且包含至少 64 個不定位元。

注意：日後將進行更新，以符合「CA/瀏覽器論壇的基本需求憑證政策」終端實體序號亂度需求。

每個位元組都必須與核發的 CA 的主體 DN 完全相同。

notBefore 和 notAfter 的間隔時間不得超過 27 個月。

notBefore 時間必須是簽名時間前後 48 小時。

除了電子郵件地址外，任何主體相對辨別名稱都必須透過公開記錄及稽核的程序嚴格驗證後，才能核發。如需標準程序詳細資訊，請參閱 CA/瀏覽器論壇所發行的《核發和管理公開信任憑證的基本要求憑證政策》1.3.2 以上版本的 §3.2.3「個人身分驗證」一節。

在「主體別名」附加資訊中，必須包含任何以 rfc822Name 形式列出的電子郵件地址 (例如 commonName 或 emailAddress 欄位中的地址)。

RSA 模數為 2048、3072 或 4096 的 rsaEncryption，或是使用 secp256r1 或 secp384r1 的 ecPublicKey。

必須為下列項目設定位元位置：
digitalSignature
和/或
nonRepudiation/contentCommitment
可為下列項目設定位元位置：
dataEncipherment
keyEncipherment

不得設定其他位元位置。

必須為下列項目設定位元位置：
digitalSignature
可為下列項目設定位元位置：
nonRepudiation/contentCommitment
keyAgreement
encipherOnly (如果已設定 keyAgreement)
decipherOnly (如果已設定 keyAgreement)

不得設定其他位元位置。

必須包含：
emailProtection
不得包含：
serverAuth
codeSigning
timeStamping
anyExtendedKeyUsage

基本限制

cA 欄位 (如果有的話) 不得設為 True
不得包含 pathLenConstraint 欄位

必須包含：必須提供 policyIdentifier，用來辨別核發憑證時所遵循的政策，且不得為 anyPolicy。

必須包含：cps (如果有的話) 必須包含可導向至核發憑證時套用的 CPS 的有效 HTTP 或 HTTPS 連結。

授權單位資訊存取權

caIssuers 和 ocsp (如果有的話) 必須包含至少一個可公開存取的 HTTP uniformResourceIdentifier。

AccessDescription 不得包含屬於任何個別憑證的標籤或參數。

必須包含至少一個可公開存取的
HTTPuniformResourceIdentifier

(注意)

請參閱 CA/瀏覽器論壇所發行的《核發和管理公開信任憑證的基本要求憑證政策》1.3.2 以上版本，執行撤銷作業的伺服器必須遵循下列章節的規定：

• 4.9.7. CRL 產生頻率
• 4.9.9. 線上憑證與廢止憑證狀態查核功能
• 4.9.10. 線上廢止憑證查核需求
• 4.10.2. 服務適用情形

主體別名

必須包含至少一個 rfc822Name 類型的項目。
不得包含下列類型的項目：
dNSName
iPAddress
uniformResourceIdentifier
每個 rfc822Name 都必須經過公開記錄和稽核的措施驗證，確保提交要求的實體控管與電子郵件地址相關聯的電子郵件帳戶，或已獲得電子郵件帳戶持有人授權，可代表該帳戶持有人行事。

其他擴充功能