Let's Encrypt 正在为域名验证增加两个新的远程视角。此举是因为更多视角能提升域名验证的安全性；基线要求（Baseline Requirements）中的 BR 3.2.2.9 要求，自 2026 年 12 月 15 日起，CA 必须用至少 5 个远程网络视角（Network Perspectives）为主网络视角（Primary Network Perspective）提供佐证，执行多视角签发确证（Multi-Perspective Issuance Corroboration），且这些视角需位于至少两个不同区域互联网注册管理机构（Regional Internet Registries）的服务区域。增加视角的数量与覆盖范围，也能提升对 BGP 攻击的可见性和防护。

Let's Encrypt 正在为域名验证新增两个远程视角。做出这一变更，一方面是因为增加视角能提升域名验证的安全性，另一方面也是 《基线要求》（Baseline Requirements） 所要求的，相关要求引用如下。扩大域名验证视角的数量和覆盖范围，也有助于提高对 BGP 攻击的可见性与防护能力。

BR 3.2.2.9 多视角签发印证（Multi-Perspective Issuance Corroboration）
自 2026-12-15 起，CA 必须使用至少五（5）个远程网络视角来实施多视角签发印证。CA 必须确保满足“法定人数要求表”（Quorum Requirements Table）中规定的要求，并且印证主网络视角（Primary Network Perspective）的远程网络视角需位于至少两（2）个不同区域互联网注册机构（Regional Internet Registries）的服务区域内。若未满足这些要求，CA 不得签发证书。

在域名验证期间，这意味着我们将总共发出七次验证请求：一次来自主数据中心，六次来自远程视角（此前为四次）。验证要成功，主服务器和达到法定人数的远程视角都必须收到正确的挑战响应。这会让攻击者更难劫持验证请求。如需进一步了解多视角域名验证，可参阅 我们之前的博客文章，其中记录了 Let's Encrypt 最早新增视角时的情况。

我们预计对用户几乎没有影响。Let's Encrypt 将于 2026 年 10 月 27 日（星期二） 在 staging 环境中开始使用新区域执行域名验证。如果一切顺利，计划于 2026 年 11 月 10 日（星期二） 在生产环境中上线。后续更新将发布在本帖中。

讨论以技术质疑为主，核心分歧是多视角验证能否真正抵御 BGP 劫持：有评论指出目的地被整体劫持时它依然失效，并批评 Let's Encrypt 频繁变更、缩短证书周期反而增加脆弱性。肯定其降低 HTTPS 门槛的历史贡献者较少，另有人希望把这一模式复制到邮件 S/MIME 证书，还有人询问 Let's Encrypt 是否计划支持 C2PA 证书。

认为多视角验证挡不住把目的地整体劫持的 BGP 攻击

• 论据：攻击者劫持了 Hetzner 的一段地址空间，尽管路由全程 RPKI-invalid，仍在多数互联网生效约 33 小时，并成功应答 Let's Encrypt 的域控验证、为 virtualizor.com 签发了证书；多视角验证只增加路径层面的攻击成本，却无法解决整个网络都把目的地指向假位置的单点故障，因此 CAB 应把 RPKI 验证列为强制要求，而非继续叠加多个仍会同时被骗到的验证源。（高赞） > 多视角验证只是让攻击者必须攻击多条路径，可如果整个网络都认为目的地在别处，所有路径都会通向同一个假位置。（@throw0101a）

认为 Let's Encrypt 的频繁变更和短证书周期正让系统更脆弱

• 论据：真正需要的是稳定与少改动，但 Let's Encrypt 正跟随大厂把证书缩到 30 天、ACME 进入第二次迭代后旧有部署被破坏；不断新增验证方法带来的收益，远不如长期支持已有方法，否则自动化一旦失效，网站就会很快无法访问，这是面向企业盈利而非个人长期可访问需求的架构。（少数人） > 增加新的验证方法，远不如把已有方法多支持几年更能解决问题。（@superkuh）

肯定 Let's Encrypt 让启用 HTTPS 从困难昂贵变为普惠

• 论据：在 Snowden 事件之后、Let's Encrypt 出现之前，启用 HTTPS 既麻烦又昂贵；它的出现极大降低了门槛，是种惊人的变化。（少数人） > 很难想象在 Let's Encrypt 出现前，启用 HTTPS 曾经既困难又昂贵。（@Schlagbohrer）

呼吁把 Let's Encrypt 模式复制到邮件 S/MIME 证书

• 论据：如今几乎所有邮件应用都支持 S/MIME，但除企业外几乎没人使用，邮件服务器之间的机会加密并不足够；需要出现一个像 Let's Encrypt 的 CA，提供免费、有效期一年以上、且由用户自行生成密钥的 S/MIME 证书。（少数人） > 我们需要一个 CA，为邮件做 Let's Encrypt 曾为 HTTP 做的事。（@Tepix）

有价值的补充

• 关于多视角验证的技术机制：CA 在校验 ACME 挑战响应时，会从多个不同网络的机房访问目标，使网络层攻击必须同时攻陷多条独立路径；但无论使用 DNS-01、HTTP-01 还是 TLS-ALPN-01，校验都依赖 DNS 与目标服务器之间的网络完整性，BGP 攻击可通过伪造 DNS 响应或把目标 IP 改道来注入伪造的质询响应。（@nbadg）