Let’s Encrypt加强域名验证远程视角要求，多视角校验抵御BGP路由劫持攻击

全球免费SSL证书提供商Let’sEncrypt发布重要安全变更，强化域名所有权验证的远程视角校验机制。本次改动会增加独立网络观测点位数量，从更多地域、不同RIR区域发起验证质询，提升抵御BGP路由劫持、路由劫持类中间人攻击的防护能力，是WebPKI体系加固的重要更新。

一、什么是远程视角验证?

远程视角，是证书颁发机构（CA）用于域名所有权验证的安全机制。简单理解：CA不再只从单一机房出口访问目标站点验证域名控制权，而是从分布全球、归属不同自治网络的多个独立节点发起HTTP-01或DNS-01质询挑战。
只有主节点与足够数量远程视角节点，全部拿到正确的质询应答，才判定域名验证通过，允许签发证书。

此前Let’sEncrypt使用4个远程视角节点；本次升级后扩容到6个远程视角，加上主数据中心，一轮验证一共发起7次独立探测请求。验证必须满足“多数节点校验成功”规则，只要多数远程视角无法拿到正确挑战响应，证书签发流程直接终止，拒绝下发证书。

该调整源于CA/BrowserForum基线要求，自2026年12月15日起，所有公共CA必须至少部署5个跨RIR区域的远程验证视角，Let’sEncrypt提前落地该合规要求。

二、本次变更核心改动细节

1、节点数量变化：远程验证点位由4个→6个，跨至少两个不同RIR区域，满足基线规范对地域分布的硬性约束。

2、上线时间线：2026年10月27日先在测试环境部署；若无重大问题，2026年11月10日正式投产上线生产环境。

3、验证方式不变：HTTP-01、DNS-01、TLS-ALPN-01挑战类型没有改动，站长不需要修改ACME客户端、验证脚本，只是验证探测来源IP会新增多组海外IP段。

4、核心安全目标：防范BGP路由劫持。攻击者如果劫持单条路由，只能拦截其中一条验证请求，很难同时劫持分布在多个RIR区域的6条独立线路，大幅提升攻击成本与难度。

三、对站长与运维人员的实际影响

绝大多数正常网站几乎无感，但存在两类需要重点排查的场景。

第一类是启用严格地域封禁的站点。如果防火墙策略拦截海外IP访问/.well-known/acme-challenge/路径的80端口HTTP请求，新增的远程验证节点访问会被阻断，直接导致证书续期、新证书申请验证失败，证书签发报错。

很多国内服务器、云主机默认安全组策略会屏蔽海外访问，这是最容易踩坑的地方。运维需要放行全球IP访问80端口的ACME质询路径，或者放行Let’sEncrypt全部验证节点IP段。

第二类是使用CDN、反向代理、WAF的网站。需要确认CDN/WAF不会拦截、重写ACME质询目录下的HTTP请求，保证所有远程视角节点都能拿到原始挑战文件内容。

DNS-01验证场景相对影响更小，只要权威DNS服务器允许全球递归查询，一般不受新增远程视角影响。

四、常见误区澄清

很多站长容易误解本次改动，这里做区分说明。

1、不是更换验证挑战类型：依旧是HTTP文件验证或DNS记录验证，不需要更换ACME客户端、不需要改动域名解析记录。

2、不是强制要求服务器部署在海外：服务器机房位置不影响验证，远程视角只是探测访问者，不改变服务器部署要求。

3、不会提高证书申请失败率：正常无地域封禁、路由正常的站点，验证成功率基本不变。只有存在路由污染、严格IP封禁的站点才会验证失败。

4、不是更换根证书或者修改证书有效期：本次变更只属于域名所有权验证环节的安全加固，证书有效期、证书信任链均无改动。

五、为什么CA行业强制推行多视角核验？

BGP路由劫持长期是WebPKI体系的高危风险。攻击者通过劫持路由，可以拦截CA的域名验证请求，伪造质询应答，在没有域名控制权的情况下骗取SSL证书，用于钓鱼、中间人劫持、流量劫持。

早年仅单视角验证时，攻击者只要劫持目标站点所在网段的BGP路由，就能欺骗CA签发证书。引入跨区域多视角校验后，攻击者需要同时劫持多个不同大洲、不同RIR区域的路由，攻击门槛急剧抬高，现实中几乎难以实现。

本次是行业统一合规要求，后续所有主流证书机构都会陆续跟进部署多视角核验，并非只有Let’sEncrypt单独实施这项安全策略。