X.509 鏈結中的每個憑證都必須符合本文列出的條件，才能受到信任並用於加密或 S/MIME 簽署的電子郵件。
除了符合這些條件外，該鏈結也必須錨定一個專用於此，且明確受 Google 信任的憑證授權單位 (CA) 憑證。您也可以選擇接受來自您信任的 CA 的根憑證。詳情請參閱根憑證指南。
注意事項：
- Google 提供受到 Gmail 信任且適用於 S/MIME 功能的 CA 憑證清單，且會不定期更新。這份清單中列出的信任 CA 是由 Google 自行斟酌決定，且 Google 保留隨時移除根 CA 的權利，無須另行通知。
- 確保已安裝的附加資訊不會與同一憑證中的其他附加資訊產生衝突。舉例來說，您定義的 nsCertTypes 必須涵蓋與金鑰使用方式附加資訊、擴充金鑰使用方式附加資訊和基本限制附加資訊完全相同的用途。
憑證鏈結規則
根 CA
| 欄位 | 值 |
|---|---|
|
核發者 DN |
必須可用來識別 CA。 舉例來說，DN 不得為通用值 (例如「憑證授權單位」)。 |
|
主體 DN |
編碼格式的每個位元組都必須與核發者 DN 完全相同。 |
|
主體公開金鑰資訊 |
RSA 模數為 2048、3072 或 4096 的 rsaEncryption，或是使用 secp256r1 或 secp384r1 的 ecPublicKey。 |
終端實體憑證核發者以外的中繼 CA 憑證
如果根和終端實體之間有多個中繼 CA (無論是直接或間接)，即可使用這裡的資訊。
終端實體憑證核發者是核發終端實體憑證的中繼 CA。本節內容適用於鏈結中終端實體憑證核發者以外的任何中繼 CA。
| 欄位 | 值 | ||
|---|---|---|---|
| 版本 | 第 3 版 | ||
| 序號 | 必須大於零 (0)；當 DER 編碼為「整數」時，必須小於或等於 20 個位元組。 | ||
| 簽名演算法 | 使用 SHA‐256、SHA‐384 或 SHA‐512 的 RSA，或使用 SHA‐256、SHA‐384 或 SHA‐512 的 ECDSA。 | ||
| 核發者 DN |
每個位元組都必須與核發的 CA 的主體 DN 完全相同。 |
||
| 有效期限 | 無規定。 | ||
| 主體 DN | 無規定。 | ||
| 主體公開金鑰資訊 |
RSA 模數為 2048、3072 或 4096 的 rsaEncryption，或是使用 secp256r1 或 secp384r1 的 ecPublicKey。 |
||
| 附加資訊 | 存在必要性 | 是否重要 | 值 |
| 金鑰使用方式 | 必要 | 是 |
必須為下列項目設定位元位置：keyCertSign |
| 基本限制 | 必要 | 是 | cA 欄位必須設為 True 應包含 pathLenConstraint 欄位 |
| CRL 發布點 | 必要 | 否 |
必須包含至少一個可公開存取的 HTTP |
| (注意事項) | 請參閱 CA/瀏覽器論壇所發行的《核發和管理公開信任憑證的基本要求憑證政策》1.3.2 以上版本，執行撤銷作業的伺服器必須遵循下列章節的規定：
|
||
| 其他附加資訊 | 可提供 | ||
核發終端實體的中繼 CA 憑證
重要資訊：鏈結中「必須」含有至少一個中繼 CA 憑證。也就是說，根「不得」直接核發終端實體憑證。
| 欄位 | 值 | ||
|---|---|---|---|
| 版本 | 第 3 版 | ||
| 序號 | 必須大於零 (0)；當 DER 編碼為「整數」時，必須小於或等於 20 個位元組。 | ||
| 簽名演算法 |
使用 SHA‐256、SHA‐384 或 SHA‐512 的 RSA，或使用 SHA‐256、SHA‐384 或 SHA‐512 的 ECDSA。 |
||
| 核發者 DN |
每個位元組都必須與核發的 CA 的主體 DN 完全相同。 |
||
| 有效期限 |
notBefore 和 notAfter 之間的間隔時間 不應超過 10 年，且不得超過 20 年。 |
||
| 主體 DN |
應指明使用 CA。 |
||
| 主體公開金鑰資訊 |
RSA 模數為 2048、3072 或 4096 的 rsaEncryption，或是使用 secp256r1 或 secp384r1 的 ecPublicKey。 |
||
| 附加資訊 | 存在必要性 | 是否重要 | 值 |
| 金鑰使用方式 | 必要 | 是 |
必須為下列項目設定位元位置： 不得設定其他位元位置 |
| 擴充金鑰使用方式 | 必要 | 不一定 | 必須包含： emailProtection 不得包含： serverAuth codeSigning timeStamping anyExtendedKeyUsage |
|
基本限制 |
必要 | 是 |
cA 欄位必須設為 True |
| 憑證政策 | 非必要 | 否 |
應提供 policyIdentifier 來指定 CA 運作時遵循的政策，且不應為 anyPolicy。 |
| CRL 發布點 | 必要 | 否 |
至少一個可公開存取的 HTTP |
| (注意事項) |
請參閱 CA/瀏覽器論壇所發行的《核發和管理公開信任憑證的基本要求憑證政策》1.3.2 以上版本，執行撤銷作業的伺服器必須遵循下列章節的規定：
|
||
| 其他附加資訊 | 非必要 | 否 |
可提供。 |
終端實體憑證
| 欄位 | 值 | ||
|---|---|---|---|
| 版本 | 第 3 版 | ||
| 序號 |
必須大於零 (0)，且包含至少 64 個不定位元。 注意：日後將進行更新，以符合「CA/瀏覽器論壇的基本需求憑證政策」終端實體序號亂度需求。 |
||
| 簽名演算法 | 使用 SHA‐256、SHA‐384 或 SHA‐512 的 RSA，或使用 SHA‐256、SHA‐384 或 SHA‐512 的 ECDSA。 | ||
| 核發者 DN |
每個位元組都必須與核發的 CA 的主體 DN 完全相同。 |
||
| 有效期限 |
notBefore 和 notAfter 的間隔時間不得超過 27 個月。 notBefore 時間必須是簽名時間前後 48 小時。 |
||
| 主體 DN |
除了電子郵件地址外，任何主體相對辨別名稱都必須透過公開記錄及稽核的程序嚴格驗證後，才能核發。如需標準程序詳細資訊，請參閱 CA/瀏覽器論壇所發行的《核發和管理公開信任憑證的基本要求憑證政策》1.3.2 以上版本的 §3.2.3「個人身分驗證」一節。 在「主體別名」附加資訊中，必須包含任何以 rfc822Name 形式列出的電子郵件地址 (例如 commonName 或 emailAddress 欄位中的地址)。 |
||
| 主體公開金鑰資訊 |
RSA 模數為 2048、3072 或 4096 的 rsaEncryption，或是使用 secp256r1 或 secp384r1 的 ecPublicKey。 |
||
| 附加資訊 | 存在必要性 | 是否重要 | 值 |
| 金鑰使用方式 (RSA) | 必要 | 是 |
必須為下列項目設定位元位置： 不得設定其他位元位置。 |
| 金鑰使用方式 (ECDH) | 必要 |
必須為下列項目設定位元位置： 不得設定其他位元位置。 |
|
| 擴充金鑰使用方式 | 必要 | 不一定 |
必須包含： |
|
基本限制 |
非必要 | 不一定 |
cA 欄位 (如果有的話) 不得設為 True |
| 憑證政策 | 必要 | 否 |
必須包含：必須提供 policyIdentifier，用來辨別核發憑證時所遵循的政策，且不得為 anyPolicy。 必須包含：cps (如果有的話) 必須包含可導向至核發憑證時套用的 CPS 的有效 HTTP 或 HTTPS 連結。 |
|
授權單位資訊存取權 |
非必要 | 否 |
caIssuers 和 ocsp (如果有的話) 必須包含至少一個可公開存取的 HTTP uniformResourceIdentifier。 AccessDescription 不得包含屬於任何個別憑證的標籤或參數。 |
| CRL 發布點 | 必要 | 否 |
必須包含至少一個可公開存取的 |
|
(注意事項) |
請參閱 CA/瀏覽器論壇所發行的《核發和管理公開信任憑證的基本要求憑證政策》1.3.2 以上版本，執行撤銷作業的伺服器必須遵循下列章節的規定：
|
||
|
主體別名 |
必要 | 否 |
必須包含至少一個 rfc822Name 類型的項目。 |
|
其他附加資訊 |
非必要 | 否 | 可提供。 |
