DNS 验证是什么？如何完成 SSL 证书的 DNS 域名验证？
DNS 验证是当前主流且最可靠的域控制验证（DCV）方式，用于向证书颁发机构（CA）证明你对申请域名的实际管理权。它不依赖网站是否可访问、服务器权限或邮箱收件状态，仅需在域名 DNS 解析中添加一条指定记录即可完成验证。该方式被 Sectigo、Digicert、锐安信、华测等所有主流 CA 广泛采用，也是通配符 SSL 证书（如 通配符SSL证书）唯一支持的验证方法。
该方式适用于拥有域名解析管理权限的用户，常见于企业 IT 管理员、云平台运维及独立开发者。
DNS 验证的技术机制
验证流程基于 DNS 协议权威性
CA 不直接检查你的服务器，而是向全球 DNS 根服务器发起递归查询，确认你添加的 TXT 或 CNAME 记录已真实生效并可被公共 DNS 解析器读取。典型流程为：CA 提供唯一挑战值 → 用户在 DNS 后台添加对应 _acme-challenge 主机记录 → CA 每 30–60 秒轮询验证 → 连续两次匹配即签发证书。整个过程无需重启服务，也无 HTTP 端口开放要求，规避了防火墙拦截与 CDN 缓存干扰问题。
支持两种标准记录类型
TXT 记录适用于绝大多数场景，兼容性最强；CNAME 记录则常用于大型组织多级域名统一验证——例如将 _acme-challenge.sub.example.com 指向 CA 提供的专用验证域名，实现子域批量托管。但注意：部分老旧 DNS 服务商（如某些 IDC 自建 DNS）不支持长 TXT 值（超 255 字符），此时必须拆分为多段并加引号，否则验证失败。
工程实践中的关键限制
DNS 验证虽稳定，但存在三项硬性约束：
第一，DNS TTL 值若设为 86400（24 小时），新记录平均生效需 10–30 分钟，紧急部署时建议提前将 TTL 调至 300 秒；
第二，国内部分云解析平台（如早期阿里云万网）对 TXT 记录长度限制为 128 字符，而 Let’s Encrypt 新版 ACME 协议挑战值已达 230+ 字符，需升级至新版阿里云云解析 DNS；
第三，若使用 CDN 或 WAF（如腾讯云 CDN、网宿），其 DNS 接管模式可能导致本地解析未同步，务必在「DNS 解析设置」页确认为「权威解析」而非「转发解析」。
| 指标 | 参考标准 | TopSSL专家建议 |
|---|---|---|
| 验证成功率 | CA/B Forum BR 3.2.2.3 要求 ≥99.5% | 使用阿里云/腾讯云 DNS 时开启「智能解析」+「全球节点」，避免地域性解析失败 |
| 生效等待时间 | RFC 1035 建议 TTL ≥300 秒 | 生产环境首次验证前，TTL 提前 24 小时调低至 300；验证通过后恢复默认 |
| 记录保留期 | CA/B Forum 不强制要求清除 | 建议签发后 72 小时内手动删除，防止被恶意复用或暴露验证逻辑 |
常见问题
Q：DNS 验证失败，但记录已添加且 dig 命令能查到，为什么？ A：多数因本地 hosts 文件或运营商 DNS 缓存导致。请使用 DNS解析记录查询 工具从全球 12 个节点验证，排除单点误差。
Q：一个账号下多个域名能否共用同一条 DNS 记录？ A：不能。每个域名挑战值唯一，重复使用会导致后续域名验证被拒绝，CA 系统判定为“非授权复用”。
Q：通配符证书（如 通配符SSL证书是什么）为何强制要求 DNS 验证？ A：因通配符覆盖 *.example.com 下全部子域，HTTP 文件验证无法覆盖未部署网站的子域（如 api.example.com 尚未上线），唯有 DNS 权威性可保障全域控制权。
京公网安备11010502031690号
网站经营企业工商营业执照
