证书中心
证书中心
文档指南
请输入
- 文档首页
证书中心SSL证书用户指南证书申请域名验证
复制全文
下载 pdf域名验证
文档反馈
问问助手提交证书请求后，您需要按照证书颁发机构（CA）的要求证明对申请域名具有控制权。证书中心提供 DNS 验证、文件验证，以及面向指定订阅实例的 CNAME 代理验证。
域名验证方式
提交证书请求时，您需选择一种域名验证方式。可选择的验证方式如下表所示。
前提条件
操作步骤
- 登录证书中心控制台。
- 在左侧导航栏，选择 SSL证书 > 证书管理。
- 在证书列表，找到您的证书，然后单击证书ID。
- 证书的 状态 是 验证中。
- 在 订单进度 区域，找到 等待域名验证 部分，查看域名验证要求。
如果当前进度为 CA机构验证中，表示您的证书请求刚刚提交给CA，CA还没有返回对应的域名验证要求。请等待5分钟左右，等待域名验证 部分将会出现。
- 根据域名验证要求，完成相关配置。
- 在 订单进度 区域，单击 检查配置。
- 证书中心将检查您的DNS记录或验证文件是否正确配置，并返回检查结果。如果提示“配置错误”，请仔细检查您的配置，并对其进行必要的修改，然后重新执行检查。
- 等待CA定期检查您的配置。
- CA每隔5分钟自动检查一次您是否按照要求完成了相关配置。当CA确认您已经正确完成配置，域名验证将会结束。
注意
如果您请求的是 GlobalSign 证书，检查过程需要15分钟左右。在某些特殊情况下，例如订单堵塞等，检查过程可能需要30分钟左右。
如果您请求的是 DV 证书，则域名验证结束后，CA将在数小时内为您签发证书。如果您请求的是 OV/EV 证书，则域名验证结束后，CA需要进行组织验证。组织验证可能需要数个工作日才能完成，并且需要您组织的相关人员接听电话。更多信息，请参见组织验证说明。
DNS验证说明
验证要求
假设您正在为域名dns.example.com请求一张SSL证书。您选择了 域名验证方式 为 DNS验证。下图显示了对应的域名验证要求。您需要为域名创建指定的DNS TXT记录。
注意
如果您使用火山引擎TrafficRoute为域名提供DNS服务，DNS验证将会自动完成。您无需手动创建DNS记录。
操作步骤
- 登录火山引擎云解析DNS控制台。
- 在 公网域名管理 页面，单击您的域名。
- 在 记录管理 页签，单击 添加记录。
- 在 添加记录 面板，按照以下说明配置记录：
- 域名：在输入框中，输入您从域名验证要求中获取的 待添加主机记录。
- 记录类型：选择 TXT。
- 记录值：输入您从域名验证要求中获取的 记录值。
- 其他配置项使用默认值。
- 域名验证要求记录配置
- 单击 提交。
接下来，您可以按照订单进度中的说明，手动检查您的配置是否正确。
文件验证说明
验证要求
假设您正在为域名file.example.com 请求一张SSL证书。您选择了 域名验证方式 为 文件验证。下图显示了对应的域名验证要求。您需要将指定的验证文件添加到您的Web服务器。
注意
如果您请求针对根域名（如example.com）或带有www前缀的子域名（如www.example.com）的证书，您需要为根域名以及对应带有www前缀的子域名都完成文件验证。
这是因为通常情况下，根域名和带有www前缀的子域名由同一张证书进行保护。例如，如果证书是针对根域名签发的，那么该证书通常也用于保护带有www前缀的子域名；反之亦然。因此，CA需要验证您对根域名和带有www前缀的子域名具有同时管理的权限。
接下来，我们以Ubuntu系统上的Nginx服务为例，介绍如何创建验证文件。如果您的服务器使用其他类型的操作系统，请参考对应操作系统的文档。以下内容供参考。
前提条件
- 域名file.example.com 指向Web服务器的IP地址。
- Web服务器已经开放了80或443端口。
- 您拥有登录Web服务器所需的工具、账号和密码。
操作步骤
- 登录服务器。
- 访问file.example.com的主目录。
- Nginx默认站点的主目录为/var/www/html。您需根据站点实际配置，访问对应的主目录。
-
- 在站点主目录新建文件夹（.well-known/pki-validation），并在该文件夹下新建一个验证文件。
- 您可以从域名验证要求中获取文件夹的名称和验证文件的名称。
-
-
- 将指定的内容添加到新建的验证文件中。
- 您可以从域名验证要求中获取文件内容。以下截图仅为示例。
-
接下来，您可以按照订单进度中的说明，手动检查您的配置是否正确。
CNAME代理验证说明
CNAME 代理验证是证书中心为订阅实例提供的自动域名验证方式。您只需在域名 DNS 服务商处配置一次 CNAME 记录，把待验证域名指向证书中心分配的代理验证域名；之后每次证书续签时，CA 要求的验证记录都由证书中心在代理域名侧自动维护，无需您反复登录 DNS 服务商操作。
说明
CNAME 代理验证仅支持订阅实例，即 DigiCert、GeoTrust 品牌的 DV 正式版证书。购买证书时将域名验证方式选择为 CNAME代理验证 后，验证信息会展示在证书详情的订单进度区域。更多介绍，请参见 SSL 证书自动化管理使用指南。
验证要求
提交订阅实例的证书请求后，在证书详情右侧 订单进度 区域的 等待域名验证 部分，可以查看 CNAME 代理验证的验证信息。信息卡片中各字段含义如下：
- 验证类型：CNAME 代理验证。
- 记录类型：CNAME。
- 待验证域名：本次证书申请保护的域名，例如www.example.com。
- 待添加主机记录：固定以 _dnsauth. 为前缀的 CNAME 主机记录，例如_dnsauth.example.com。泛域名证书按信息卡片中展示的主机记录配置即可。
- 记录值：证书中心为订阅实例分配的代理验证域名（线上域名为auto-validation.com），例如a1b2c3d4e5f6a7b8.auto-validation.com。每个订阅实例的记录值不同，请以订单进度中展示的信息为准。
操作步骤
- 在证书详情的 订单进度 区域，找到 等待域名验证 部分，复制验证信息中的 待添加主机记录 和 记录值。
- 登录域名的 DNS 解析服务商控制台，添加一条 CNAME 记录：主机记录填写待添加主机记录，记录类型选择 CNAME，记录值填写代理验证域名，其他配置项保持默认。即使域名的 DNS 解析托管在火山引擎云解析 DNS，该条 CNAME 代理记录也需要您手动添加。
- 返回证书详情，在 订单进度 区域单击 检查配置。证书中心将校验 CNAME 记录是否正确配置，校验通过后等待 CA 定期检查（通常需要 5 分钟左右），域名验证完成后证书将自动签发。
注意
CNAME 记录配置校验成功后，请勿修改或删除该记录，否则将导致证书自动续费和更新失败。
如果相同主机记录下已存在 TXT 记录，会出现 CNAME 与 TXT 记录值冲突，证书无法签发。请前往 DNS 解析服务商，仅删除与验证主机记录同名的那条冲突 TXT 记录，再返回重新检查配置；不要批量删除域名下的其他 TXT 记录，尤其不要误删 SPF、DKIM、DMARC 等业务记录。
该 CNAME 记录在整个订阅期内持续有效，后续证书续签时自动复用，无需重复配置。证书签发后，证书中心会持续检测记录状态；记录被删除或修改导致检测不到时，会通过证书消息发送 CNAME 代理验证异常通知，请及时修复以免影响新证书自动签发。
查看验证记录的入口
订阅实例不承载订单进度，验证记录始终位于具体证书详情中。您可以从以下入口进入：在 订阅实例 列表的 最新签发证书状态 下单击 查看验证记录；或进入订阅实例详情，在 证书列表 中打开对应证书；开启托管时，也可以在 开启证书托管 页面的 代理验证托管 配置区，或托管任务详情的 验证详情 中查看同一条 CNAME 记录及校验结果。
说明
验证信息中的 待验证域名 是 CA 需要验证控制权的域名，它与需要添加 CNAME 的完整主机记录名称不一定相同，请按 待添加主机记录 配置，不要直接修改业务域名的解析。
完整主机名与相对主机名
待添加主机记录 是一条完整的 DNS 名称（例如_dnsauth.api.example.com）。在 DNS 服务商处填写时，需要结合域名实际的解析区域处理：
- 解析区域为example.com、服务商要求填写相对名称时，填写_dnsauth.api，保存后的完整记录名为_dnsauth.api.example.com。
- 解析区域为api.example.com时，填写_dnsauth。
- 服务商要求填写完整域名时，直接填写完整的 待添加主机记录。
- TTL 和解析线路无特殊要求时保持默认即可，但需确保公网 CA 可以查询到该记录，不能只在私网或特定解析线路生效。
- 只在带验证前缀的主机记录上添加 CNAME，不要修改业务域名本身的 A、AAAA 或业务 CNAME 记录，以免影响网站或应用访问。
保存后请确认解析出的完整记录名与验证信息一致，不要机械地按二级域名截取主机记录，也不要让服务商再次追加已包含在填写内容中的后缀。
校验与签发
单击 检查配置 后，证书中心先校验 CNAME 记录是否配置正确；校验通过后，仍需等待 CA 定期检查并完成域名验证。配置校验通过不等于证书已经签发，证书是否签发请以证书状态是否变为 已签发 为准。
记录的保留与迁移
- CNAME 代理记录在整个订阅期内都需要保留。即使首本证书已完成签发，删除或修改该记录仍会导致后续续签证书自动验证失败；结束托管只停止自动部署，订阅实例仍在使用该记录完成验证。
- 更换 DNS 服务商或调整解析区域时，请将该记录纳入迁移清单：在新的权威 DNS 中配置相同的主机记录、记录类型（CNAME）和记录值，切换生效后返回证书中心重新检查配置。
- 只有确认相关订阅不再需要自动验证后，才可以清理该记录。
最近更新时间：2026.10.19 10:49:33
这个页面对您有帮助吗？
有用
有用
无用
无用