Docusign Connect mTLS客户端证书校验及配置相关问题咨询

问题1：如何确定DocuSign生产环境发送的客户端证书，是否需要校验DN #

DocuSign发送客户端证书的逻辑和你账号所属的区域直接绑定，北美、欧盟、亚太等不同区域的Connect服务会使用对应区域公开的专用客户端证书，所有有效证书均来自官方公开的公共证书列表。
必须校验DN，不同区域Connect服务的合法DN是固定的，比如北美区为connect.docusign.net、欧盟区为connect.eu.docusign.net，和你账号区域匹配即可。

问题2：需要校验哪些证书内容 #

推荐同时校验证书SHA256指纹和DN字段，安全等级最高：

• 指纹校验可以确认当前证书是官方发布的可信证书
• DN校验可以确认证书确实属于Connect服务，避免其他Docusign业务的证书被误用的极端情况
  不需要额外校验其他字段，两个字段匹配即可证明请求来源合法。

问题3：如何获取完整的校验指纹列表 #

你需要下载账号对应区域下所有生效中、即将生效的Connect专用证书，自行计算SHA256指纹后存入白名单即可。注意不要包含过期证书、非Connect服务的其他Docusign证书，避免引入不必要的安全风险。

问题4：处理客户端证书过期的最优方案 #

1. 每月定期同步官方公共证书列表的更新，或者订阅DocuSign的运维通知，提前获取证书更新预告
2. 新证书发布后，第一时间将其指纹加入你的校验白名单，新旧证书并行兼容至少30天
3. 旧证书正式过期后，再从白名单中移除对应的指纹条目，避免业务中断

内容的提问来源于stack exchange，提问作者Pedro Franco