Certificate Management Service：網域名稱所有權驗證

適用範圍相關說明

• 公司名義申請SSL認證能否證明公司對認證的所有權？

  SSL認證驗證的是申請者對網域名稱的控制權，而非公司所有權。SSL認證的OV（組織驗證）和EV（增強驗證）類型會在認證中包含公司名稱資訊，但這僅表示該公司對指定網域名稱擁有使用權，不等同於公司對認證本身的法律所有權。

• 從第三方購買的認證如何驗證所有權？

  對於從第三方購買的認證，驗證方法請諮詢原購買平台。

DV認證網域名稱所有權驗證

OV和EV認證網域名稱所有權驗證

提交OV或EV認證申請後，CA將在1個工作日左右（以其當地時區為準，節假日順延），通過公司註冊登記資訊（非系統中填寫的申請人資訊）中的電話或郵箱與您聯絡。

DNS驗證

• 自動驗證方式是否支援更改？

  不支援。若需更改，請切換至其他阿里雲帳號購買認證或進行網域名稱解析。

• 如何檢測DNS解析記錄是否生效？

  檢測步驟如下：

  1. 在認證列表中找到當前認證狀態為審核中的認證記錄。

  2. 單擊操作列下的驗證。

  3. 單擊驗證，如提示未檢測到DNS記錄值，單擊查看記錄值，系統會跳轉到網域名稱解析工具中。

  4. 在網域名稱解析工具中解析DNS，判斷解析記錄是否生效。

• 控制台提示“未檢測到DNS記錄值”怎麼辦？

  常見原因及解決方案如下：

  1. 未添加網域名稱解析記錄。

     請參見網域名稱所有權驗證，前往您對應的 DNS 網域名稱解析服務商，手動添加一條TXT 類型的解析記錄，用於驗證網域名稱所有權。

  2. 控制台驗證存在延遲。

     如果您已正確添加網域名稱解析記錄，但仍提示"未檢測到DNS記錄值"，可能是控制台的驗證存在解析延遲。您無需任何操作，耐心等待後重試即可。

  3. SSL 憑證綁定的網域名稱與 DNS 解析的網域名稱不一致。

     說明

     如果您使用的不是阿里雲 DNS 解析服務，請前往對應的 DNS 解析服務商確認網域名稱資訊。

     1. 確認網域名稱是否一致。

     2. 在 SSL 憑證驗證頁面單擊修改，重新填寫認證綁定網域名稱後再次提交審核。

• 控制台提示“DNS記錄值不匹配”怎麼辦？

  常見原因及解決方案如下：

  1. DNS 解析記錄值配置錯誤。

     請重新從認證申請頁面複製主機記錄和記錄值，粘貼到 DNS 解析配置中。

  2. 使用 DNSPod 或其他第三方 DNS 服務商。

     您可以忽略控制台提示的相關錯誤，直接在 DNSPod 或其他 DNS 服務位址按要求配置 DNS 解析記錄，然後等待 CA 驗證即可。

  3. DigiCert 品牌的 DV 認證，解析記錄值已超過 24 小時。

     1. 刪除已超過 24 小時的 TXT 解析記錄。

     2. 前往數位憑證管理服務控制台，重新申請目標認證，擷取最新的 TXT 解析記錄值。

     3. 前往網域名稱解析服務商平台重新添加新的 TXT 解析記錄。

     說明

     GeoTrust 品牌的 DV 認證時間戳記始終有效，不受此限制。

  4. 記錄值未同步至海外 DNS。

     動態解析記錄的同步可能出現延遲，導致海外權威 DNS 伺服器無法擷取最新的 TXT 記錄值。請檢查動態解析服務是否正常運行，耐心等待即可。

• 控制台提示“驗證逾時，請重試。”怎麼辦？

  站台伺服器的網路異常，請聯絡對應的網域名稱服務 (DNS)商，檢查並修複網路情況。

• 為什麼網域名稱解析已經生效，但是控制台驗證仍舊不通過？

  控制台驗證存在一定的延遲，可等待1分鐘左右後再次重試。

• 網域名稱存在 CAA 解析記錄導致驗證失敗

  說明

  CAA（Certification Authority Authorization, 憑證授權單位授權） 是一種 DNS 記錄類型，它允許網域名稱所有者通過 DNS 明確指定哪些 CA（憑證授權單位）被授權為自己的網域名稱簽發 SSL/TLS 認證。這樣可以有效防止非法或錯誤的認證簽發，提升網站安全。

  • 解決方案一：請前往網域名稱DNS解析服務商（如：雲DNS解析控制台），在網域名稱的解析配置頁，將記錄類型為“CAA”的解析記錄刪除，操作完成後重新申請認證即可。

  • 解決方案二：將認證對應的CA機構加入CAA 解析記錄，操作完成後重新申請認證即可。

  說明

  若當前網域名稱的 CNAME 指向 github.io網域名稱，將同步引用 github.io 的 CAA 策略從而影響到認證的簽發。此時，請在認證簽發前暫停該 CNAME 記錄，或將 CAA 記錄添加 trust-provider.com、globalsign.com 、sectigo.com。

• 網域名稱解析供應商不是阿里雲，如何佈建網域名解析記錄？

  方案	操作方法	優點
  在原服務商配置	登入當前網域名稱管理平台，添加從阿里雲擷取的 SSL 憑證驗證記錄（TXT）。 說明 如有疑問，請聯絡您的網域名稱解析服務商。	快速直接，無需轉移網域名稱。
  將網域名稱轉入阿里雲	參考網域名稱轉入阿里雲完成轉入後，在雲解析 DNS 控制台完成 DNS 解析配置。 重要 網域名稱轉入時需交納一年的續約費用，即轉入價格為網域名稱續約一年的價格。	便於後續認證續簽和網域名稱的統一管理。

檔案驗證

• 控制台提示“未檢測到檔案”怎麼辦？

  常見原因及解決方案如下：

  • 未上傳驗證檔案至伺服器指定目錄。

    請參見驗證網域名稱所有權，將驗證檔案上傳至站台伺服器的指定驗證目錄（.well-known/pki-validation/）。

  • 控制台檔案驗證延遲。

    如果您已上傳驗證檔案至伺服器對應目錄，且訪問URL地址（HTTPS地址和HTTP地址），能夠訪問到驗證檔案內容，但是控制台仍提示驗證狀態同步失敗，請稍後再試。。可能是控制台檔案驗證延遲導致的，您無需任何操作，耐心等待重試即可。

• 控制台提示“驗證逾時，請重試。”怎麼辦？

  常見原因及解決方案如下：

  • 未開放伺服器的80或443連接埠。

    目前CA中心僅支援通過訪問HTTPS地址和HTTP地址（443連接埠和80連接埠），驗證是否可以訪問到驗證檔案內容。

    • 解決方案一：開放80或443連接埠。

      如何開放80或443連接埠？

      Linux

      1. 在伺服器終端執行以下命令，檢測443連接埠的開放情況：

         RHEL/CentOS

         command -v nc > /dev/null 2>&1 || sudo yum install -y nc
         # 請將以下的 <當前伺服器的公網 IP> 替換為當前伺服器的公網 IP
         sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <當前伺服器的公網 IP> 443

         如果輸出 Ncat: Connected to <當前伺服器公網 IP>:443，則表明443連接埠已開放。否則需在安全性群組和防火牆中開放443連接埠。

         Debian/Ubuntu

         command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
         # 請將以下的 <當前伺服器的公網 IP> 替換為當前伺服器的公網 IP
         sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <當前伺服器的公網 IP> 443

         若輸出 Connection to <當前伺服器公網 IP> port [tcp/https] succeeded! 或 [<當前伺服器公網 IP>] 443 (https) open，則表明443連接埠已開放。否則需在安全性群組和防火牆中開放443連接埠。

      2. 在安全性群組配置開放443連接埠。

         請確保安全性群組已開放 443 連接埠 (TCP)，否則外部無法訪問服務。以下操作以阿里雲 ECS 為例：

         1. 進入Elastic Compute Service執行個體頁面，選擇目標 ECS 執行個體所在地區，單擊目標執行個體名稱，進入執行個體詳情頁。

         2. 單擊安全性群組 > 內網入方向全部規則，確儲存在一條授權策略為允許、協議類型為 TCP、目的連接埠範圍為 HTTPS(443)、授權對象為任何位置(0.0.0.0/0)（或其它地址，確保 PC 可遠端存取即可）的規則。

         3. 如不存在上述規則，請參照添加安全性群組規則在目標安全性群組中添加相應規則。

      3. 在防火牆中開放443連接埠。

         執行以下命令，識別系統當前的防火牆服務類型：

         if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
             echo "firewalld"
         elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
             echo "ufw"
         elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
             echo "nftables"
         elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
             echo "iptables"
         elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
             echo "iptables"
         else
             echo "none"
         fi

         若輸出為 none，則無需進一步操作。否則，請根據輸出的類型（firewalld、ufw、nftables、iptables），執行以下命令開放 443 連接埠：

         firewalld

         sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

         ufw

         sudo ufw allow 443/tcp

         nftables

         sudo nft add table inet filter 2>/dev/null
         sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
         sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

         iptables

         sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

         為避免 iptables 規則在系統重啟後失效，請執行以下命令持久化 iptables 規則：

         RHEL/CentOS

         sudo yum install -y iptables-services
         sudo service iptables save

         Debian/Ubuntu

         sudo apt-get install -y iptables-persistent
         sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

      Windows

      1. 在安全性群組中開放 443 連接埠

      請確保安全性群組已開放 443 連接埠 (TCP)，否則外部無法訪問服務。以下操作以阿里雲 ECS 為例：

      1. 進入Elastic Compute Service執行個體頁面，選擇目標 ECS 執行個體所在地區，單擊目標執行個體名稱，進入執行個體詳情頁。

      2. 單擊安全性群組 > 內網入方向全部規則，確儲存在一條授權策略為允許、協議類型為 TCP、目的連接埠範圍為 HTTPS(443)、授權對象為任何位置(0.0.0.0/0)（或其它地址，確保 PC 可遠端存取即可）的規則。

      3. 如不存在上述規則，請參照添加安全性群組規則在目標安全性群組中添加相應規則。

      2. 在伺服器本地防火牆中開放 443 連接埠

      1. 登入Windows伺服器，單擊左下角開始菜單，開啟控制台。

      2. 點擊。

      3. 如果防火牆處於如下圖的關閉狀態，無需額外操作。

      4. 如果防火牆已開啟，請參考以下步驟允許存取HTTPS規則。

         1. 單擊左側，檢查是否存在協議為TCP，本地連接埠為443，操作為阻止的入站規則。

         2. 若存在此類規則，需要按右鍵相應規則並選擇屬性，在常規頁簽，將其修改為允許串連並應用。

    • 解決方案二：在認證申請面板，單擊撤回申請，修改網域名稱驗證方式為手動DNS驗證。

  • 存在301或302重新導向跳轉

    • 使用wget -S <URL地址>命令檢測該驗證URL地址是否存在跳轉。若返回 HTTP/1.1 301 Moved Permanently 或 HTTP/1.1 302 Found，則說明存在重新導向。

      wget -S http://<您的網域名稱>/.well-known/pki-validation/<驗證檔案名稱>

    • 刪除重新導向配置。以下為Nginx設定檔nginx.conf中301和302配置範例程式碼。

      301配置

      server {
          listen 80;
          server_name <您主網域名稱> <您的www子網域名稱>;
          return 301 跳轉網域名稱$request_uri;
      }

      302配置

      location /.well-known/ {
          return 302 <重新導向地址>
      }

  • 站台伺服器的網路安全裝置已設定白名單

    若伺服器防火牆或安全性群組等網路安全設定配置了允許訪問的IP白名單，請將 CA 的 IP 位址段臨時添加至白名單中，以確保伺服器可被CA訪問。

    CA 廠商	IP 位址
    DigiCert	216.168.247.9 64.78.193.238 216.168.249.9
    GlobalSign	211.123.204.251 180.222.177.99 114.179.250.1 114.179.250.2 27.115.18.218

• 控制台提示“檔案內容不正確。”怎麼辦？

  常見原因及解決方案如下：

  • 主網域名稱與www子網域名稱的未同時支援訪問驗證檔案

    無論申請的是主網域名稱 （如 aliyundoc.com）還是其 www 子網域名稱（如 www.aliyundoc.com），CA都將對這兩個地址同時進行檢查。請確保這兩個網域名稱下的驗證檔案均可被公開訪問，否則驗證將失敗。

    說明

    以www.aliyundoc.com和aliyundoc.com為例，需同時確保http://www.aliyundoc.com/.well-known/pki-validation/fileauth.txt和http://aliyundoc.com/.well-known/pki-validation/fileauth.txt均可被公網訪問。

  • Web 服務器中的驗證檔案與當前最新的驗證檔案內容不一致。

    在驗證資訊面板，單擊查看檢測到的檔案，確保其內容與當前最新的驗證檔案內容一致。若存在不一致，則重新下載和上傳驗證檔案，然後再次進行驗證。單擊查看檢測到的檔案，在彈出的對話方塊中對比需要您添加的檔案（專有驗證檔案）與檢測到的檔案，確認伺服器上實際存放的驗證檔案內容是否與最新的專有驗證檔案一致。

  • 網站已啟用HTTPS訪問，但僅支援HTTP 訪問。

    • 解決方案一：將驗證檔案同時部署在HTTP和HTTPS服務路徑下，並確保HTTPS協議的正常訪問。

    • 解決方案二：臨時關閉對應網站涉及頁面的HTTPS服務。

  • 網站已啟用CDN服務，但未完成CDN服務節點海外資料同步。

    • 解決方案一：將驗證檔案同步到海外CDN服務節點，或者臨時關閉CDN海外加速服務。

    • 解決方案二：如果無法對CDN節點伺服器進行變更操作，可在認證申請面板，單擊撤回申請，修改網域名稱驗證方式為手動DNS驗證。

  • 驗證檔案時間戳記逾時。

    重新下載最新的驗證檔案並上傳至網站伺服器。