介绍
作为领先的证书颁发机构 (CA) 和信托服务公司，我们优先考虑数字证书和身份验证程序的安全性和可信性。 本指南重点关注我们的品牌经销商合作伙伴，他们拥有链接到 SSL.com 受信任根的从属证书颁发机构（称为“subCA”），并负责收集验证证据、将其提交到我们的注册机构门户，并促进颁发证书来自由 SSL.com 管理的合作伙伴品牌子 CA 的证书。 本指南的目的是确保验证证据提交过程和证书生命周期的完整性和安全性，因为经销商无法直接访问根材料，只能通过指定的 API 或通过帐户与证书生命周期操作进行交互。由 SSL.com 管理的注册机构 (RA) 门户。
安全收集扩展、组织和个人验证类型的验证证据
-
数据最小化： 仅收集证书颁发过程所需的必要验证证据。 避免收集无关或敏感信息。
-
安全收集方法： 从最终用户收集验证证据时，使用安全通道，例如加密表单或门户。
-
访问控制： 实施严格的访问控制以收集验证证据。 只有经过授权的人员才能访问，并且应该强制进行多重身份验证。
-
数据的完整性： 确保验证证据在收集过程中保持不变。
-
域控制验证： 使用 SSL.com 严格提供的域控制验证服务和方法。
向根 CA 安全提交验证证据
-
API安全性： 始终使用指定的 API 来提交验证证据。 确保 API 调用是通过安全通道（例如 HTTPS）进行的。
-
门户上传： 另一种安全的证据提交方法是将证据直接上传到您在 SSL.com 帐户中看到的相关订单中； 确保您只上传与特定订单相关的证据。
-
定期审核： 定期审核提交日志，以确保没有未经授权的提交。
-
事件响应： 针对提交过程中的任何差异或违规行为制定明确的事件响应计划。 通知 根CA 如果发现任何违规行为.
使用证书生命周期操作 API 的最佳实践
-
API密钥管理： 保护您的 API 密钥。 安全地存储它们，定期轮换它们，并且永远不要将它们暴露在客户端代码或公共存储库中。
-
速率限制： 请注意对 API 施加的任何速率限制，以避免意外的服务中断。
-
监控和记录： 监控所有 API 活动。 维护详细的日志并定期检查是否有任何可疑或未经授权的活动。
-
错误处理： 实施强大的错误处理机制。 如果 API 响应出现任何故障或差异，请制定明确的程序来解决这些问题。
维护安全的网站
-
正确 TLS 服务器配置： 确保服务器仅支持强加密密码和协议。 定期更新和修补服务器以防止已知漏洞。
-
操作系统强化： 尽量减少服务器上运行的服务数量，及时打安全补丁，并使用安全配置来减少攻击面。
-
常见网站漏洞： 定期扫描并解决 SQL 注入、跨站脚本 (XSS) 和跨站请求伪造等漏洞（CSRF）。
-
保持适当的密码健康： 确保密码复杂，包含大小写字母、数字和特殊字符。 鼓励有权访问您的服务器或 CRM 的人员定期更新其密码，并避免重复使用其他站点的密码。 实施多重身份验证 (MFA) 或使用 clientAuth 证书。
CA/B 论坛网络和证书系统安全要求
-
每季度漏洞扫描： 每季度定期进行漏洞扫描，以识别并纠正潜在的安全问题。
-
年度渗透测试： 进行年度渗透测试，以模拟潜在的攻击并识别系统中的薄弱环节。
-
提升安全要求： 强调遵守 CA/B 论坛网络和证书系统安全要求以维护信任和安全的重要性。
通过私钥生成、存储和验证来推广最终用户最佳实践 CSRs
-
密钥生成教育： 指导最终用户使用经过 CA 审查的工具来生成密钥和 CSRs。 这确保了兼容性和安全性。
-
密钥长度和算法： 建议最终用户使用强大的加密算法和适当的密钥长度（例如，RSA 2048 位或更高）。
-
访问控制和多重身份验证： 实施严格的访问控制并推广使用多重身份验证，特别是对于触发 CA API 交互的操作，例如证书重新生成密钥、续订和吊销。
私钥的安全存储
-
连续密钥轮换： 定期进行密钥轮换可以最大限度地减少密钥泄露时暴露的数据量，并缩短攻击者破解密钥所需的时间。
-
加密存储和备份： 鼓励对私钥进行加密备份，安全、单独存储。
-
撤销和密钥销毁： 鼓励最终用户制定策略，以便在密钥被泄露或不再需要时能够迅速有效地撤销。 密钥被撤销后不应再用于任何加密操作，并应予以销毁。
-
建立关键层次结构： 这种结构创建了多层加密密钥，每层都具有不同级别的访问和控制。 主密钥位于该层次结构的中心，非常安全，用于加密附加密钥，这些密钥通常称为“从属”或“数据加密”。
-
制定灾难应对策略： 制定在重大密钥泄露或密钥丢失的情况下需要采取的明确行动以及责任方。
对我们的 CA 和品牌经销商的信任至关重要。 通过遵循这些全面的最佳实践，我们可以确保证书颁发过程的安全性和完整性，保护用户数据并维护最终用户的信任。 我们鼓励所有经销商认真实施这些做法，并联系我们寻求进一步的指导或澄清。
