每个人都可以，
拥有SSL证书

AWS在8月13日发了公告，ACM会在2027年9月30日前停止对邮箱验证公共证书的支持。这事有个行业背景，CA/B Forum在2025年11月已经投票通过，公共CA从2028年3月15日起不能再用基于邮箱的域名验证签发或续期公开可信证书。

AWS的时间线比行业基线还早半年，2027年1月起新区域不提供邮箱验证，3月底起所有区域的新证书都只能走DNS验证。

邮箱验证的原理不复杂。

CA往域名WHOIS或常见管理员邮箱发一封带链接的确认邮件，收到并点击链接的人被默认为域名控制者。DNS验证则要求你在域名的TXT或CNAME记录里写入CA给的一串随机值，CA从公共DNS查询到匹配结果才签发证书。用物业类比，邮箱验证像给业主信箱塞确认信，拿到信的人不一定真是业主；DNS验证像必须进房管局系统改备案，权限门槛高出一截。

很多团队吃过邮箱验证的亏。

管理员邮箱是admin@example.com，续期通知发过去没人看，证书过期了监控才开始叫。域名隐私保护一开，WHOIS根本不显示真实联系人，CA只能往常见前缀猜。更尴尬的是，邮箱归属可能被接管，一旦被攻击者拿到确认链接，证书就发到了错误的人手里。AWS停用邮箱验证，等于把这条风险通道提前堵上，但存量证书的续期压力转移到了运维这边。

AWS给了UpdateCertificateOptions这个API，可以把已有证书从邮箱验证原地切到DNS验证，ARN保持不变，这在生产环境里省了不少事。切换后返回一条CNAME验证记录，72小时内要加到DNS。Route 53用户可以一键创建，其他DNS服务商得手动或脚本处理。

实际执行时可以先用describe-certificate看一下验证方式，输出ValidationMethod字段还是EMAIL的话就得动。

迁移过程里有个细节容易漏，证书从邮箱验证切到DNS验证后，旧邮箱验证记录已经没用了，但新建的CNAME记录要保留到续期验证完成后才能删。

AWS建议切换后等待72小时确保新验证生效，如果太早删CNAME，下一次续期会直接失败。对证书数量多的团队，这个窗口期足够把一个人拖垮。

行业里其实早有现成协议可以用。ACME协议本来就把域名验证、证书申请、续期做成了标准API，Let's Encrypt、Google Trust Services这些CA都支持。

lcjmSSL这类免费证书平台跑在ACME协议上，自动走DNS验证，支持多域名、泛域名和IP证书，申请部署都在API里完成。对不想把证书体系绑在单一云厂商、或者有大量非AWS主机要覆盖的团队，这种工具可以在这次迁移期里省下大量手工操作。不用把它当成替代AWS，只是证书验证方式切换时多一条不依赖控制台的路线。

从时间线上看，2027年3月31日以后新证书就不能再选邮箱验证，存量证书还有半年续期窗口。

这个时间听着远，其实2026年底前就应该完成盘点。把CertificateManager里所有证书的ValidationMethod拉出来，按域名分组，确认哪些DNS服务商支持API写入。能用acme.sh或者lcjmSSL这类平台统一管的，就不要再单独在云控制台里点。证书管理最后拼的不是谁家界面好看，而是验证方式能不能被脚本接管。

等2028年CA/B Forum的行业基线全面生效，邮箱验证会从公共CA体系里消失。现在开始切换，其实是在给2027年的续期高峰留缓冲。手工换一百张证书不难，难的是换完之后续期不再断。