提交SSL证书申请后，证书不会立即签发。CA机构需先确认申请者对申请域名具有真实所有权或控制权，该环节称为域名验证。SSL证书用于向访问者证明网站身份；若任何主体均可为他人域名申请证书，证书可信度将无法保障。
域名验证即确认谁有权为该域名申请证书。验证通过后，CA进入签发流程；验证未通过，证书无法签发。该环节操作并不复杂，但实际执行中常因细节问题受阻。国科云对SSL证书常见验证方式及注意事项梳理如下。
一、常见验证方式
主流验证方式包括DNS验证、文件验证和邮箱验证。
DNS验证是在域名解析后台添加CA指定记录。CA查询该记录存在且匹配后，确认申请者对域名拥有所有权或控制权。该方式不要求网站已上线，对服务器端口无要求。通配符证书通常采用此方式，一条TXT记录可覆盖所有子域，文件验证不适用。
文件验证是将CA提供的验证文件放置于服务器根目录下.well-known/pki-validation/目录，CA通过HTTP或HTTPS访问并比对内容。前提是具备服务器目录写入权限，且80或443端口对公网开放。
邮箱验证依赖域名WHOIS中登记的管理员邮箱。CA发送含链接或验证码的邮件，申请者按指引领取或回复。该方式步骤较少，前提是该邮箱可正常登录。部分老域名WHOIS中留存的是离职人员邮箱，需先变更注册信息再验证。
二、DNS验证操作细节
选择DNS验证后，CA会提供记录类型、主机记录和记录值。记录类型通常为TXT，主机记录常见_acme-challenge的形式，也可能为服务商指定前缀。
在解析后台添加解析记录时，主机记录填写CA指定前缀，记录值要整串复制，尽量不要手动输入，以免出错。保存后等待解析生效，生效时间取决于DNS服务商刷新机制和TTL，通常为几分钟至数小时。
申请二级域名时需注意记录格式，如www.example.com，部分服务商要求主机记录包含子域名前缀，部分服务商不要求，具体以申请页面或邮件说明为准。
DNS验证需要重点关注两类问题：
CNAME冲突。同一主机记录已经存在CNAME时，再添加TXT记录可能导致解析结果异常，添加前要做好检查。
CAA记录。CA签发前会检查域名CAA记录中是否授权自身。如果当前CA不在授权列表内，即使TXT验证通过也会被拒签。这类问题在多域名共用解析配置时比较常见，CAA记录被复制到新域名后不易发现。
三、文件验证操作细节
核心操作是将CA指定文件放置到指定位置。文件名和内容由CA确定，不可修改。在网站根目录创建.well-known/pki-validation/目录，并将文件原样上传。
上传后应先自行访问验证地址：http://域名/.well-known/pki-validation/文件名；启用HTTPS时替换为HTTPS。确认可访问且内容一致后再提交验证。
文件完整性要求较高。多余空格、换行或上传工具格式转换都可能导致校验失败。建议使用二进制模式传输，不要使用文本模式。
另一个常见的失败原因是跳转。CA检测时通常不随301/302跳转，请求跳转后验证会中断。此外，WAF或安全规则拦截.well-known路径时，即使目录中有文件，CA也无法访问。
四、验证失败排查顺序
验证失败后不要重复提交，可按照下面顺序排查原因：
检查记录或文件是否正确。DNS验证要注意核对主机记录、记录值是否与要求一致，是否有多余空格，记录类型是否选择正确。文件验证需要核对路径、文件内容是否被编辑器修改，以及检查返回状态码是200、404还是403。
检查是否预留生效时间。如果DNS记录修改后立即提交，因为缓存的原因，CA可能仍读取旧解析。可以等待一段时间，或使用第三方DNS查询工具确认解析生效后再提交。
查看CAA记录。域名存在CAA限制签发机构且当前CA不在允许范围时，验证和签发都会被阻断。多个域名共用解析配置时尤其要注意这个问题，复制来的CAA记录不容易肉眼发现。
五、验证方式选择建议
如果具备解析修改权限但服务器还没有上线或者端口不方便开放时，更合适用DNS验证。如果具备服务器目录写入权限且端口正常时，文件验证更方便，修改后可以立即测试。
| 国科云与国内外多家权威CA机构建立深度合作，提供CFCA、Symantec、GeoTrust、GlobalSign、RapidSSL以及自有品牌Sanfront等全系列SSL证书，全面满足不同行业客户在数据安全防护与HTTPS协议改造中的多样化需求。【点击咨询体验】
推荐阅读：
