Certificate Management Service：網域名稱所有權驗證相關問題

阿里雲提供網路撥測工具可協助您檢測解析記錄是否生效。檢測步驟如下：

常見原因及解決方案如下：

1. 未添加網域名稱解析記錄。

   請參見手動DNS驗證，在對應的DNS網域名稱解析服務商，手動添加一條TXT類型的解析記錄用於驗證網域名稱所有權。

2. 控制台驗證解析延遲。

   如果您已正確添加網域名稱解析記錄，但仍提示“未檢測到DNS記錄值”，可能是控制台驗證延遲導致的。無需任何操作，耐心等待重試即可。

3. SSL認證綁定網域名稱和DNS網域名稱解析對應的網域名稱不一致。

   說明

   非阿里雲DNS解析服務商的使用者，請前往對應DNS解析供應商確認網域名稱。

   1. 確認網域名稱是否一致

   2. 在SSL認證驗證頁點擊修改，重新填寫認證綁定網域名稱後再次提交審核。

常見原因及解決方案如下：

1. DNS解析記錄值配置錯誤。

   將認證申請的主機記錄和記錄值重新複製到DNS解析的配置中。

   

2. 使用了DNSPod或其他網域名稱解析服務商解析網域名稱。

   您可以暫時忽略控制台提示的相關錯誤，按要求在DNSPod或其他網域名稱解析服務商配置DNS的解析記錄後，等待CA驗證即可。

3. DigiCert品牌的DV認證，解析記錄值超過24小時。

   1. 刪除已超過24小時的TXT解析記錄值。

   2. 訪問數位憑證管理服務控制台，重新申請目標認證，擷取最新的TXT解析記錄值。

   3. 前往網域名稱解析服務商平台重新添加新的TXT解析記錄值。

   說明

   GeoTrust品牌的DV型認證時間戳記始終有效。

4. 記錄值未同步至海外DNS。

   動態網域名稱解析記錄同步延遲，導致海外權威DNS伺服器無法擷取最新的TXT記錄值。檢查您的動態解析服務是否正常運行，耐心等待即可。

網域名稱伺服器的網路異常，請聯絡對應的網域名稱服務 (DNS)商，檢查並修複網路情況。

常見原因及解決方案如下：

1. 未上傳驗證檔案至伺服器指定目錄。

   請參見檔案驗證，將驗證檔案上傳至站台伺服器的指定驗證目錄（.well-known/pki-validation/）。

2. 控制台檔案驗證延遲。

   如果您已上傳驗證檔案至伺服器對應目錄，且訪問URL地址（HTTPS地址和HTTP地址），能夠訪問到驗證檔案內容，但是控制台仍提示“未檢測到檔案”。可能是控制台檔案驗證延遲導致的，您無需任何操作，耐心等待重試即可。

常見原因及解決方案如下：

1. 未開放伺服器的80或443連接埠。

   目前CA中心僅支援通過訪問HTTPS地址和HTTP地址（443連接埠和80連接埠），驗證是否可以訪問到驗證檔案內容。

   解決方案一：開放80或443連接埠。

   如何開放80或443連接埠？

   Linux

   1. 在伺服器終端執行以下命令，檢測443連接埠的開放情況：

      RHEL/CentOS 系列

      command -v nc > /dev/null 2>&1 || sudo yum install -y nc
      # 請將以下的 <當前伺服器的公網 IP> 替換為當前伺服器的公網 IP
      sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <當前伺服器的公網 IP> 443

      如果輸出 Ncat: Connected to <當前伺服器公網 IP>:443，則表明443連接埠已開放。否則需在安全性群組和防火牆中開放443連接埠。

      Debian/Ubuntu 系列

      command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
      # 請將以下的 <當前伺服器的公網 IP> 替換為當前伺服器的公網 IP
      sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <當前伺服器的公網 IP> 443

      若輸出 Connection to <當前伺服器公網 IP> port [tcp/https] succeeded! 或 [<當前伺服器公網 IP>] 443 (https) open，則表明443連接埠已開放。否則需在安全性群組和防火牆中開放443連接埠。

   2. 若連接埠未開放，可參照如下操作在安全性群組和防火牆中開放443連接埠。

      1. 在安全性群組中開放 443 連接埠

      重要

      若您的伺服器部署在雲平台，請確保其安全性群組已開放 443 連接埠 (TCP)，否則外部無法訪問服務。以下操作以阿里雲 ECS 為例，其他雲平台請參考其官方文檔。

      1. 登入ECS管理主控台，在頁面左側頂部，選擇目標 ECS 執行個體所在地區。在執行個體頁面，找到目標 ECS 執行個體。

      2. 單擊目標執行個體名稱，進入執行個體詳情頁面，單擊安全性群組 > 內網入方向全部規則，確儲存在一條授權策略為允許、協議類型為 TCP、目的連接埠範圍為 HTTPS(443)、授權對象為任何位置(0.0.0.0/0)的規則。

      3. 如不存在上述規則，請按以下步驟添加。更多安全性群組配置請參見添加安全性群組規則。

         1. 在 ECS 執行個體詳情頁面，單擊安全性群組 > 安全性群組列表，選擇目標安全性群組並進入其詳情頁。

         2. 在安全性群組詳情頁的安全性群組詳情 > 入方向下，單擊快速添加。

         3. 在快速添加面板，選中連接埠範圍中的 HTTPS(443）後，單擊確定即可。

      2. 在伺服器本地防火牆中開放 443 連接埠

      執行以下命令，識別系統當前的防火牆服務類型：

      if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
          echo "firewalld"
      elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
          echo "ufw"
      elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
          echo "nftables"
      elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
          echo "iptables"
      elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
          echo "iptables"
      else
          echo "none"
      fi

      若輸出為 none，則無需進一步操作。否則，請根據輸出的類型（firewalld、ufw、nftables、iptables），執行以下命令開放 443 連接埠：

      firewalld

      sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

      ufw

      sudo ufw allow 443/tcp

      nftables

      sudo nft add table inet filter 2>/dev/null
      sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
      sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

      iptables

      sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

      為避免 iptables 規則在系統重啟後失效，請執行以下命令持久化 iptables 規則：

      RHEL/CentOS 系列

      sudo yum install -y iptables-services
      sudo service iptables save

      Debian/Ubuntu 系列

      sudo apt-get install -y iptables-persistent
      sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

   Windows

   1. 在安全性群組中開放 443 連接埠

   重要

   若您的伺服器部署在雲平台，請確保其安全性群組已開放入方向 443 連接埠 (TCP)，否則外部無法訪問服務。以下操作以阿里雲 ECS 為例，其他雲平台請參考其官方文檔。

   1. 登入ECS管理主控台，在頁面左側頂部，選擇目標 ECS 執行個體所在地區。在執行個體頁面，找到目標 ECS 執行個體。

   2. 單擊目標執行個體名稱，進入執行個體詳情頁面，單擊安全性群組 > 內網入方向全部規則，確儲存在一條授權策略為允許、協議類型為 TCP、目的連接埠範圍為 HTTPS(443)、授權對象為任何位置(0.0.0.0/0)的規則。如不存在此規則，請進行添加。

      如何添加安全性群組規則

      1. 在 ECS 執行個體詳情頁面，單擊安全性群組 > 安全性群組列表，選擇目標安全性群組並進入其詳情頁。

      2. 在安全性群組詳情頁的安全性群組詳情 > 入方向下，單擊增加規則。

      3. 在建立安全性群組規則面板，將訪問目的（本執行個體）設定為 HTTPS(443），其餘參數保持預設值，單擊確定即可。

      4. 更多安全性群組配置請參見添加安全性群組規則。

   2. 在伺服器本地防火牆中開放 443 連接埠

   1. 登入Windows伺服器，單擊左下角開始菜單，開啟控制台。

   2. 點擊系統和安全 > Windows防火牆 > 檢查防火牆狀態。

   3. 如果防火牆處於如下圖的關閉狀態，無需額外操作。

   4. 如果防火牆已開啟，需允許存取HTTPS規則。

      如何允許存取防火牆HTTPS規則

      1. 單擊左側進階設定 > 入站規則，檢查是否存在協議為TCP，本地連接埠為443，操作為阻止的入站規則。

      2. 若存在此類規則，需要按右鍵相應規則並選擇屬性，在常規頁簽，將其修改為允許串連並應用。

      3. 更多防火牆配置，請參見配置防火牆規則。

   解決方案二：在認證申請面板，單擊撤回申請，修改網域名稱驗證方式為手動DNS驗證。

2. 存在301或302重新導向跳轉

   • 使用wget -S <URL地址>命令檢測該驗證URL地址是否存在跳轉。若返回 HTTP/1.1 301 Moved Permanently 或 HTTP/1.1 302 Found，則說明存在重新導向。

     wget -S http://<您的網域名稱>/.well-known/pki-validation/<驗證檔案名稱>

   • 刪除重新導向配置。以下為Nginx設定檔nginx.conf中301和302配置範例程式碼。

     301配置

     server {
         listen 80;
         server_name <您主網域名稱> <您的www子網域名稱>;
         return 301 跳轉網域名稱$request_uri;
     }

     302配置

     location /.well-known/ {
         return 302 <重新導向地址>
     }

• 網域名稱伺服器的網路異常。

  聯絡對應的網域名稱服務 (DNS)商，檢查並修複網路情況。

• 個人測試認證申請的網域名稱含有敏感詞。

  解決方案一：更換特殊詞（edu、gov、org、jp（國家縮寫）、pay、bank、live、nuclear等），重新發起申請。

  解決方案一：如網域名稱無法更改，請您購買OV、EV認證的認證。

常見原因及解決方案如下：

1. 網域名稱伺服器下存在舊檔案未及時刪除。

   1. 在認證申請面板，單擊查看檢測到的檔案，並記錄已檢測到的檔案的資訊。

   2. 前往您的網域名稱伺服器，刪除已檢測到的檔案。

      說明

      通常情況下，舊檔案在網站的根目錄/.well-known/pki-validation目錄下。

   3. 請參見檔案驗證，重新下載最新驗證檔案並上傳至網域名稱伺服器。

2. 未部署HTTPS服務路徑。

   部分網站頁面已啟用HTTPS訪問，而驗證檔案僅部署在HTTP服務路徑下，未部署HTTPS服務路徑下，導致報錯。

   解決方案一：您可以將驗證檔案同時部署在HTTP和HTTPS服務路徑下，並且需要確認HTTPS協議的正常訪問。

   解決方案二：您可以臨時關閉對應網站涉及頁面的HTTPS服務。

3. 啟用了CDN服務，但未完成CDN服務節點海外資料同步。

   解決方案一：將驗證檔案同步到海外CDN服務節點，或者臨時關閉CDN海外加速服務。

   解決方案二：如果無法對CDN節點伺服器進行變更操作，可在認證申請面板，單擊撤回申請，修改網域名稱驗證方式為手動DNS驗證。

4. 驗證檔案時間戳記逾時。

   訪問數位憑證管理服務控制台，重新下載最新的驗證檔案並上傳到您網站的指定目錄。

• www子網域名稱/主網域名稱驗證不全

  根據憑證授權單位 (CA) 的驗證規範，無論您申請的是主網域名稱還是其 www子網域名稱 ，CA都會對這兩個地址同時進行檢查。請務必確保，這兩個網域名稱下的驗證檔案均可被公開訪問，否則驗證將失敗。

  說明

  以www.example.com和aliyundoc.com網域名稱為例，您需要同時確保http://www.example.com/.well-known/pki-validation/fileauth.txt和http://example.com/.well-known/pki-validation/fileauth.txt都可被訪問，否則驗證將不通過。

• 未關閉HTTPS服務

  伺服器如果有HTTPS服務，需確保可通過HTTPS地址訪問到驗證檔案內容，否則建議您暫時關閉該網域名稱的HTTPS服務，否則會到證驗證失敗。

  說明

  如果伺服器未配置過HTTPS服務，只需確保HTTP地址可以訪問到驗證檔案內容。

不支援，詳情可參見【通知】申請萬用字元認證不再支援檔案驗證。