Edge Security Acceleration:Delegated DCV

O que é DCV

Domain Control Validation (DCV) é o processo pelo qual uma autoridade de certificação (CA) verifica que o solicitante controla um domínio antes de emitir um certificado.

Casos de uso

• Em sites acessados via CNAME cujo domínio não resolve para o ESA, o console do ESA usa por padrão a verificação HTTP para certificados Let's Encrypt. Caso não seja possível implantar o arquivo de verificação HTTP, configure o DCV delegado para contornar essa verificação.

• Certificados DigiCert suportam apenas verificação DNS. Para sites acessados via CNAME, configure o DCV delegado a fim de garantir a emissão e a renovação corretas do certificado.

Configure o DCV delegado

1. No console do ESA, escolha Websites. Na coluna Websites, clique no site de destino.

2. No painel de navegação à esquerda, escolha Website > SSL/TLS.

3. Na seção Edge Certificates, copie as informações do registro CNAME.

   Nota

   Instruções para substituir hostname:

   • Se o domínio delegado for um domínio curinga, como *.example.com, o hostname será example.com.

   • Se o domínio delegado não for um domínio curinga, como esa.example.com, o hostname será esa.example.com.

4. Adicione um registro CNAME no seu provedor de DNS. Este exemplo usa o Alibaba Cloud DNS. Faça login no console do Alibaba Cloud DNS. No painel de navegação à esquerda, clique em Delegated DCV. Na página Public Zone, localize o nome de domínio e clique em Public Zone.

5. Na página Settings, clique em Settings. Defina Add Record como CNAME. Cole os valores do Passo 3 nos campos Record Type e Hostname. Clique em Record Value.

   Tipo de nome de domínio	Exemplo de domínio	Host record para seu provedor de DNS (Digicert)	Host record para seu provedor de DNS (Let's Encrypt)	Valor do registro
   Domínio raiz	example.com	_dnsauth	_acme-challenge	example.com.SiteID.dcv.aliyun-esa.com
   Subdomínio	www.example.com	_dnsauth.www	_acme-challenge.www	www.example.com.SiteID.dcv.aliyun-esa.com
   Domínio curinga	*.example.com	_dnsauth	_acme-challenge	example.com.SiteID.dcv.aliyun-esa.com
   Subdomínio de múltiplos níveis	api.test.example.com	_dnsauth.api.test	_acme-challenge.api.test	api.test.example.com.SiteID.dcv.aliyun-esa.com

Verificação

Se o certificado abrange múltiplos domínios, configure um registro CNAME para cada um deles. Execute os comandos a seguir para verifique se os registros entraram em vigor.

Caso a solicitação do certificado falhe, o status do certificado esteja anormal ou o certificado apareça como não confiável, utilize os comandos dig desta seção para verifique se a resolução DNS está configurada corretamente. Para certificados Let's Encrypt, alguns cenários podem exigir também a verificação do registro _acme-challenge. A propagação DNS geralmente leva alguns minutos, podendo chegar a 10 minutos. Se a verificação falhar, aguarde e tente novamente, ou revise a configuração de DNS em busca de erros.

# [DigiCert certificate]
dig _dnsauth.<hostname> CNAME # Replace <hostname> with your domain name, for example: dig _dnsauth.example.com CNAME

# [Let's Encrypt certificate]
dig _acme-challenge.<hostname> CNAME  # Replace <hostname> with your domain name, for example: dig _acme-challenge.example.com CNAME