Certificate Management Service:Domain Ownership Verification

Verificación de certificados DV

Verificación de certificados OV y EV

Después de enviar una solicitud de certificado OV o EV, la CA se comunicará con usted en aproximadamente un día hábil (según la zona horaria local de la CA, sin contar días festivos). La CA utiliza el número de teléfono o la dirección de correo electrónico que consta en los registros oficiales de su empresa, no la información de contacto que introdujo durante la solicitud.

Verificación por DNS

• ¿Puedo cambiar el método de verificación automática?

  No. Si necesita usar un método de verificación distinto, adquiera el certificado o gestione los registros DNS desde otra cuenta de Alibaba Cloud.

• ¿Cómo compruebo si mi registro DNS ya se propagó?

  Siga estos pasos:

  1. En la lista de certificados, busque el que tenga el estado Verifying.

  2. Haga clic en Verify dentro de la columna Actions.

  3. Haga clic en Verify. Si aparece el mensaje No DNS record found., haga clic en View Record Value. El sistema lo redirigirá a una herramienta de consulta DNS.

  4. Use la herramienta de consulta DNS para comprobar si el registro ya se propagó.

• La consola muestra "No DNS record found.". ¿Qué debo hacer?

  Causas comunes y sus soluciones:

  1. No se agregó el registro DNS.

     Consulte Domain ownership verification, acceda a su proveedor de DNS y agregue manualmente un registro TXT para verificar la propiedad del dominio.

  2. Retraso en la verificación de la consola.

     Si agregó correctamente el registro DNS, pero la consola sigue mostrando "No DNS record found.", es probable que exista un retraso en la resolución DNS de la consola. No se requiere ninguna acción. Espere e inténtelo de nuevo más tarde.

  3. El dominio vinculado al certificado SSL no coincide con el configurado en el DNS.

     Nota

     Si no usa Alibaba Cloud DNS, acceda a su proveedor de DNS para confirmar la información del dominio.

     1. Compruebe que los nombres de dominio coincidan.

        Inicie sesión en la consola de Alibaba Cloud y busque el nombre de dominio de destino (etiquetado como cert) en la página Alibaba Cloud DNS > Authoritative Domain Resolution. Después, revise el nombre de dominio vinculado del certificado correspondiente en la página Certificate Management Service > SSL Certificate Management y compare si ambos coinciden.

     2. En la página de verificación del certificado SSL, haga clic en Modify, vuelva a introducir el nombre de dominio vinculado al certificado y envíe la solicitud nuevamente.

        En el paso Verification Information de la página de solicitud del certificado, si la verificación por DNS falla y se muestra el mensaje No DNS record detected, haga clic en Modify a la derecha del mensaje de error para reconfigurar el registro de resolución DNS. También puede hacer clic en View Record Value para comprobar que el registro de host y el valor del registro coinciden con los agregados en la consola de administración de dominios.

  4. El tipo de registro DNS está configurado de forma incorrecta.

     Es posible que el tipo de registro que exige la consola no sea el que usted agregó. En la página Verification Information de la solicitud del certificado, revise el tipo de registro que se muestra para su dominio. Si la página indica TXT, pero usted agregó un registro CNAME, la consola no podrá detectarlo. Elimine el registro CNAME conflictivo en su proveedor de DNS y agregue un registro con el tipo y el valor que aparecen en la página Verification Information.

  5. El registro DNS se agregó en una cuenta de Alibaba Cloud equivocada o en otra plataforma.

     Si la resolución DNS del dominio se gestiona desde otra cuenta de Alibaba Cloud o desde un proveedor de DNS externo, agregar el registro en la cuenta con la que solicitó el certificado no tendrá ningún efecto. Inicie sesión en la cuenta de Alibaba Cloud o en la plataforma donde realmente se aloja el DNS del dominio y agregue el registro ahí.

• La consola muestra "Mismatch found in the DNS record.". ¿Qué debo hacer?

  Causas comunes y sus soluciones:

  1. El valor del registro DNS está configurado de forma incorrecta.

     Vuelva a copiar el registro de host y el valor del registro desde la página de solicitud del certificado, y péquelos en su configuración DNS.

     Asegúrese de que el registro de resolución DNS esté configurado correctamente: en la página Verification Information del certificado SSL, seleccione el método de verificación TXT. Use el botón de copia para obtener el Host Record y el Record Value de la tabla. Luego, en el formulario Add Record de la consola de administración de dominios, establezca Record Type en TXT. Pegue el registro de host y el valor copiados en los campos Host Record y Record Value correspondientes. Establezca DNS Request Source en Default y TTL en 10 Minutes (Recommended). Por último, haga clic en Verify.

  2. Está usando DNSPod u otro proveedor de DNS externo.

     Ignore el error en la consola. Configure el registro DNS según se requiera en DNSPod o en su proveedor de DNS y espere a que la CA complete la verificación.

  3. El valor del registro de un certificado DV de DigiCert tiene más de 24 horas de antigüedad.

     1. Elimine el registro TXT que tiene más de 24 horas.

     2. Acceda a la consola de Certificate Management Service, vuelva a solicitar el certificado y obtenga el valor más reciente del registro TXT.

     3. Acceda a la plataforma de su proveedor de DNS y agregue el nuevo registro TXT.

     Nota

     La marca de tiempo de los certificados DV de GeoTrust siempre es válida y no está sujeta a esta limitación.

  4. El valor del registro aún no se sincronizó con los servidores DNS internacionales.

     La sincronización de los registros DNS dinámicos puede sufrir retrasos. Esto impide que los servidores DNS autoritativos internacionales recuperen el valor más reciente del registro TXT. Compruebe que el servicio de DNS dinámico funcione correctamente y espere.

• La consola muestra "Verification timed out. Try again.". ¿Qué debo hacer?

  Esto indica un problema de red en el servidor del sitio. Contacte a su proveedor de servicios de dominio para revisar y resolver cualquier inconveniente de red.

• ¿Por qué falla la verificación aunque el registro DNS ya se haya propagado?

  El proceso de verificación de la consola puede ir por detrás de la propagación real del DNS. Espere aproximadamente un minuto e inténtelo de nuevo.

• La verificación falla debido a un registro CAA en el dominio.

  Nota

  Un registro de Certification Authority Authorization (CAA) es un tipo de registro DNS que permite a los propietarios de dominios especificar qué CA tienen autorización para emitir certificados SSL/TLS para sus dominios. Esto ayuda a prevenir la emisión de certificados no autorizados.

  • Solución 1: Acceda a la consola de su proveedor de DNS (como la consola de Alibaba Cloud DNS), busque la configuración DNS del dominio y elimine el registro CAA. Una vez que el cambio surta efecto, vuelva a solicitar el certificado.

  • Solución 2: Add the certificate's CA to the CAA record. Una vez que el cambio surta efecto, vuelva a solicitar el certificado.

  Nota

  Si su dominio tiene un registro CNAME que apunta a un dominio github.io, hereda la política CAA de github.io, lo cual puede interferir con la emisión del certificado. Para solucionarlo, pause temporalmente el registro CNAME antes de emitir el certificado o agregue trust-provider.com, globalsign.com y sectigo.com a su registro CAA.

• Mi proveedor de DNS no es Alibaba Cloud. ¿Cómo configuro el registro de verificación DNS?

  Solución	Procedimiento	Ventajas
  Configurar en el proveedor actual	Inicie sesión en su plataforma actual de administración de dominios y agregue el registro de verificación del certificado SSL (TXT) que obtuvo de Alibaba Cloud. Nota Si tiene alguna duda, contacte a su proveedor de DNS.	Rápido y directo. No requiere transferir el dominio.
  Transferir el dominio a Alibaba Cloud	Después de completar la transferencia con base en Transfer a domain name to Alibaba Cloud, configure la resolución DNS en la consola de Alibaba Cloud DNS. Importante Al transferir un dominio, debe pagar una cuota de renovación por un año. El precio de la transferencia es igual al de la renovación anual.	Facilita las renovaciones posteriores del certificado y la administración centralizada del dominio.

Verificación por archivo

• La consola muestra "No file found.". ¿Qué debo hacer?

  Causas comunes y sus soluciones:

  • El archivo de verificación no se cargó en el directorio especificado. Cargue el archivo de verificación en el directorio .well-known/pki-validation/ de su servidor. Consulte File verification para ver los pasos detallados.

  • Retraso en la verificación del archivo por parte de la consola. Si cargó el archivo de verificación en el directorio correcto y puede acceder a su contenido tanto en la URL HTTPS Address como en HTTP Address, pero la consola sigue mostrando The configuration failed. Try again later., es probable que se deba a un retraso en la verificación. No se requiere ninguna acción; espere unos momentos e inténtelo de nuevo.

• La consola muestra "Verification timed out. Try again.". ¿Qué debo hacer?

  Causas comunes y sus soluciones:

  • El puerto 80 o 443 no está abierto en el servidor.

    La CA verifica el contenido del archivo únicamente mediante HTTPS Address y HTTP Address (puertos 443 y 80).

    • Solución 1: Abra el puerto 80 o 443.

    • Solución 2: En Apply for Certificate, haga clic en Cancel Application y cambie el método de verificación a Manual DNS Verification.

  • Hay configurada una redirección 301 o 302.

    • Ejecute el comando wget -S <URL> para comprobar si la URL de verificación se está redirigiendo. Si la respuesta incluye HTTP/1.1 301 Moved Permanently o HTTP/1.1 302 Found, existe una redirección activa.

      wget -S http://<your_domain>/.well-known/pki-validation/<verification_file_name>

    • Quite la configuración de redirección. A continuación se muestran ejemplos de ajustes de redirección 301 y 302 en el archivo de configuración de Nginx nginx.conf.

      Configuración de redirección 301

      server {
          listen 80;
          server_name <your_root_domain> <your_www_subdomain>;
          return 301 <redirect_target>$request_uri;
      }

      Configuración de redirección 302

      location /.well-known/ {
          return 302 <redirect_target>
      }

  • El dispositivo de seguridad de red del servidor utiliza una lista blanca de IP.

    Si el firewall de su servidor o los security groups restringen el acceso por IP, agregue temporalmente los rangos de direcciones IP de la CA a la lista blanca para que pueda comunicarse con el servidor.

    Proveedor de la CA	Dirección IP
    DigiCert	216.168.247.9 64.78.193.238 216.168.249.9
    GlobalSign	211.123.204.251 180.222.177.99 114.179.250.1 114.179.250.2 27.115.18.218

• La consola muestra "File content is invalid.". ¿Qué debo hacer?

  Causas comunes y sus soluciones:

  • Ni el dominio raíz ni el subdominio www admiten el acceso al .

    Independientemente de si solicita el certificado para el dominio raíz (por ejemplo, aliyundoc.com) o para su subdominio www (por ejemplo, www.aliyundoc.com), la CA revisa ambos nombres de host. Asegúrese de que el archivo de verificación sea accesible públicamente desde los dos.

    Por ejemplo, deben ser accesibles tanto http://www.aliyundoc.com/.well-known/pki-validation/fileauth.txt como http://aliyundoc.com/.well-known/pki-validation/fileauth.txt.

  • El del servidor web no coincide con la versión más reciente.

    En el panel Verify Information, haga clic en View Detected File y compruebe que su contenido coincida con el más reciente. Si no coinciden, vuelva a descargar y cargar el archivo de verificación, y repita la comprobación. Haga clic en View Detected File y compare el Required File con el Detected File en el cuadro de diálogo.

  • El sitio tiene HTTPS habilitado, pero el archivo de verificación solo es accesible por HTTP.

    • Solución 1: Despliegue el archivo de verificación en las rutas de servicio de HTTP y HTTPS, y asegúrese de que el endpoint HTTPS sea accesible.

    • Solución 2: Deshabilite temporalmente HTTPS en las páginas correspondientes.

  • El sitio usa un servicio CDN, pero el archivo de verificación no se sincronizó con los nodos CDN internacionales.

    • Solución 1: Sincronice el verification file con los nodos CDN internacionales o deshabilite temporalmente la aceleración CDN fuera de su región.

    • Solución 2: Si no puede modificar los nodos CDN, haga clic en Cancel Application dentro del panel Apply for Certificate y cambie el método de verificación a Manual DNS Verification.

  • La marca de tiempo expiró.

    Descargue el verification file más reciente y cárguelo de nuevo en el servidor web.