为规范 TLS 证书全生命周期管理，SHECA为涉及关键基础设施服务的客户制定了专门的指引，本指引明确了：关键基础设施的定义、特殊场景及方案建议，以及强制性吊销的基线要求，旨在引导客户遵守 TLS 证书吊销时限要求，避免延迟吊销事件的发生。

一、关键基础设施的定义

依据《中华人民共和国关键信息基础设施安全保护条例》（国务院令第745 号）及相关法规，本指引所指 “关键基础设施”，是指面向公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。

结合证书服务场景，典型适用客户包括但不限于：

· 公共通信领域：如提供基础电信服务、应急通信支撑的企业；

· 能源领域：电网调度系统、油气输送管网监控平台运营方；

· 交通领域：铁路 / 航空调度系统、城市轨道交通信号系统管理主体；

· 政务与公共服务领域：电子政务平台、医疗急救系统、公共卫生数据平台运营机构。

二、特殊场景及方案建议

（一）短期证书及适用情况

如果客户因业务特殊性（如临时项目、应急服务）需使用公共可信 TLS 证书，满足以下任一条件时，推荐申请短期证书（有效期≤7天）：

1. 业务生命周期短（如临时应急通信保障、短期专项服务）；

2. 无法立即完成私有化 PKI 部署，但需紧急上线非核心服务；

3. 客户已实现证书自动化管理（支持 ACME / ACME ARI 协议，可自动完成证书续期与吊销）。

（二）私有化 PKI 方案及适用情况

满足以下任一条件的客户，推荐采用私有化 PKI 方案：

1. 业务系统属于《关键信息基础设施安全保护条例》明确的 “核心网络设施 / 信息系统”（如公共通信骨干网、金融交易清算系统），或涉及用户基础服务（如通信账户查询、公共缴费接口）的系统。

2. 系统处理数据涉及国家秘密、核心政务数据或大量公民敏感信息（如医疗健康档案、社会保障数据）；

3. 客户业务中断可能导致公共服务瘫痪、重大财产损失或社会秩序混乱（如交通信号系统、应急救援指挥平台）；

三、TLS 证书吊销基线要求

SHECA特别申明：

1. 公共可信 TLS 证书的吊销严格遵循 Baseline Requirements 第4.9.1.1节的强制性吊销时限要求（同SHECA TLS CP/CPS和UniTrust Global订户协议），无论证书应用于何种场景（包括关键基础设施相关服务），SHECA 均不接受任何形式的延迟吊销申请，这是保障证书信任体系有效性的核心原则。

2. 一旦触发证书吊销条件，SHECA将立即启动紧急吊销响应流程（参考《大规模吊销事件准备与测试计划》 https://www.sheca.com/repository），并同步提供替换证书签发服务。请客户在规定时限内完成证书切换，避免证书失效导致业务中断。为满足最低合规要求，Baseline Requirements规定的吊销时限届满，SHECA 将执行强制吊销。

SHECA建议——客户保证沟通渠道畅通，在组织内部指定专人作为实时联系人，积极配合SHECA完成以24小时为目标的证书替换操作。