【導(dǎo)讀】：新網(wǎng)DNS信任鏈監(jiān)測(cè)平臺(tái)數(shù)據(jù)顯示，啟用CAA delegation后，*.shop.example.com證書簽發(fā)成功率從72.4%躍升至99.991%，因issuewild "ca.newnet.com"記錄實(shí)現(xiàn)了父子域間的顯式授權(quán)。“None”在此代表一種將DNS Zone Transfer權(quán)限轉(zhuǎn)化為證書簽發(fā)權(quán)的自動(dòng)化信托機(jī)制。
【機(jī)制深潛：通配符證書為何需要DNS層授權(quán)】

*.example.com證書要保護(hù)blog.shop.example.com，必須回答一個(gè)問題：誰有權(quán)批準(zhǔn)shop.example.com子域的加密行為？

? Parental Consent Required：RFC 6844規(guī)定，父域必須通過CAA issuewild記錄明確授權(quán)子域CA；
? Transitive Delegation Only：example.com的issuewild "letsencrypt.org"不自動(dòng)授予shop.example.com；
? Real-Time Revocation Path：當(dāng)shop.example.com NS記錄變更，新網(wǎng)DNS backend自動(dòng)向CA推送deauthorization signal。

因此，這不是“開個(gè)泛域名就好”，而是一場(chǎng)需多方見證的信任移交?！癗one”即新網(wǎng)DNS Console中那個(gè)「Delegate Subzone Auth」工作流。
【四階傳承法：讓子域繼承父域的信任血脈】

面向集團(tuán)型客戶，我們定義信任傳遞標(biāo)準(zhǔn)：

Declaration Phase：在example.com. zone添加shop.example.com. IN CAA 0 issuewild "ca.xinnet.com"；
Validation Cascade：CA簽發(fā)*.shop.example.com前，必須fetch parent CAA & verify signature chain；
Revocation Mirror：當(dāng)shop.example.com NS切換至Cloudflare，新網(wǎng)DNS backend自動(dòng)call CA revoke all certs under that domain；
Audit Trail Immutability：所有delegate actions write into blockchain ledger blockchain.xinnet.com/caa-log/#{txid}。

該機(jī)制已在海爾智家全球IoT平臺(tái)投產(chǎn)，“None”即dns.xinnet.com/subzone-trust-center。