Certificate Management Service：網域名稱所有權驗證

DV認證網域名稱所有權驗證

OV和EV認證網域名稱所有權驗證

提交OV或EV認證申請後，CA將在1個工作日左右（以其當地時區為準，節假日順延），通過申請時預留的電話或郵箱與您聯絡。

DNS驗證

• 自動驗證方式是否支援更改？

  不支援。若需更改，請切換至其他阿里雲帳號購買認證或進行網域名稱解析。

• 如何檢測DNS解析記錄是否生效？

  阿里雲提供網路撥測工具可協助您檢測解析記錄是否生效。檢測步驟如下：

  1. 在認證申請面板，單擊查看記錄值。

     

  2. 在網路撥測工具頁簽，單擊立即檢測。

     

  3. 若檢測結果列表中的解析結果與您配置的解析記錄值一致時，代表解析正常生效。

• 控制台提示“未檢測到DNS記錄值”怎麼辦？

  常見原因及解決方案如下：

  1. 未添加網域名稱解析記錄。

     請參見網域名稱所有權驗證，在對應的DNS網域名稱解析服務商，手動添加一條TXT類型的解析記錄用於驗證網域名稱所有權。

  2. 控制台驗證解析延遲。

     如果您已正確添加網域名稱解析記錄，但仍提示“未檢測到DNS記錄值”，可能是控制台驗證延遲導致的。無需任何操作，耐心等待重試即可。

  3. SSL認證綁定網域名稱和DNS網域名稱解析對應的網域名稱不一致。

     說明

     非阿里雲DNS解析服務商的使用者，請前往對應DNS解析供應商確認網域名稱。

     1. 確認網域名稱是否一致

     2. 在SSL認證驗證頁點擊修改，重新填寫認證綁定網域名稱後再次提交審核。

• 控制台提示“DNS記錄值不匹配”怎麼辦？

  常見原因及解決方案如下：

  1. DNS解析記錄值配置錯誤。

     將認證申請的主機記錄和記錄值重新複製到DNS解析的配置中。

     

  2. 使用了DNSPod或其他網域名稱解析服務商解析網域名稱。

     您可以暫時忽略控制台提示的相關錯誤，按要求在DNSPod或其他網域名稱解析服務商配置DNS的解析記錄後，等待CA驗證即可。

  3. DigiCert品牌的DV認證，解析記錄值超過24小時。

     1. 刪除已超過24小時的TXT解析記錄值。

     2. 訪問數位憑證管理服務控制台，重新申請目標認證，擷取最新的TXT解析記錄值。

     3. 前往網域名稱解析服務商平台重新添加新的TXT解析記錄值。

     說明

     GeoTrust品牌的DV型認證時間戳記始終有效。

  4. 記錄值未同步至海外DNS。

     動態網域名稱解析記錄同步延遲，導致海外權威DNS伺服器無法擷取最新的TXT記錄值。檢查您的動態解析服務是否正常運行，耐心等待即可。

• 控制台提示“驗證逾時，請重試。”怎麼辦？

  站台伺服器的網路異常，請聯絡對應的網域名稱服務 (DNS)商，檢查並修複網路情況。

• 為什麼網域名稱解析已經生效，但是控制台驗證仍舊不通過？

  控制台驗證存在一定的延遲，可等待1分鐘左右後再次重試。

• 網域名稱存在 CAA 解析記錄導致驗證失敗

  說明

  CAA（Certification Authority Authorization, 憑證授權單位授權） 是一種 DNS 記錄類型，它允許網域名稱所有者通過 DNS 明確指定哪些 CA（憑證授權單位）被授權為自己的網域名稱簽發 SSL/TLS 認證。這樣可以有效防止非法或錯誤的認證簽發，提升網站安全。

  • 解決方案一：請前往網域名稱DNS解析服務商（如：雲DNS解析控制台），在網域名稱的解析配置頁，將記錄類型為“CAA”的解析記錄刪除，操作完成後重新申請認證即可。

  • 解決方案二：將認證對應的CA機構加入CAA 解析記錄，操作完成後重新申請認證即可。

  說明

  若當前網域名稱的 CNAME 指向 github.io網域名稱，將同步引用 github.io 的 CAA 策略從而影響到認證的簽發。此時，請在認證簽發前暫停該 CNAME 記錄，或將 CAA 記錄添加 trust-provider.com、globalsign.com 、sectigo.com。

• 網域名稱解析供應商不是阿里雲，如何佈建網域名解析記錄？

  方案	操作方法	優點
  在原服務商配置	登入您當前網域名稱平台，添加從阿里雲擷取SSL認證驗證記錄 (TXT)。 說明 若有疑問請聯絡您的網域名稱解析供應商。	快速直接，無需轉移網域名稱。
  將網域名稱轉入阿里雲	參考網域名稱轉入阿里雲完成轉入後，在Alibaba Cloud DNS控制台完成DNS解析配置。 重要 網域名稱轉入時您需交納一年的續約費用，即網域名稱轉入價格為網域名稱續約一年的價格。	方便未來認證續簽和網域名稱統一管理。

檔案驗證

• 控制台提示“未檢測到檔案”怎麼辦？

  常見原因及解決方案如下：

  • 未上傳驗證檔案至伺服器指定目錄。

    請參見網域名稱所有權驗證，將驗證檔案上傳至站台伺服器的指定驗證目錄（.well-known/pki-validation/）。

  • 控制台檔案驗證延遲。

    如果您已上傳驗證檔案至伺服器對應目錄，且訪問URL地址（HTTPS地址和HTTP地址），能夠訪問到驗證檔案內容，但是控制台仍提示“未檢測到檔案”。可能是控制台檔案驗證延遲導致的，您無需任何操作，耐心等待重試即可。

• 控制台提示“驗證逾時，請重試。”怎麼辦？

  常見原因及解決方案如下：

  • 未開放伺服器的80或443連接埠。

    目前CA中心僅支援通過訪問HTTPS地址和HTTP地址（443連接埠和80連接埠），驗證是否可以訪問到驗證檔案內容。

    • 解決方案一：開放80或443連接埠。

      如何開放80或443連接埠？

      Linux

      1. 在伺服器終端執行以下命令，檢測443連接埠的開放情況：

         RHEL/CentOS

         command -v nc > /dev/null 2>&1 || sudo yum install -y nc
         # 請將以下的 <當前伺服器的公網 IP> 替換為當前伺服器的公網 IP
         sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <當前伺服器的公網 IP> 443

         如果輸出 Ncat: Connected to <當前伺服器公網 IP>:443，則表明443連接埠已開放。否則需在安全性群組和防火牆中開放443連接埠。

         Debian/Ubuntu

         command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
         # 請將以下的 <當前伺服器的公網 IP> 替換為當前伺服器的公網 IP
         sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <當前伺服器的公網 IP> 443

         若輸出 Connection to <當前伺服器公網 IP> port [tcp/https] succeeded! 或 [<當前伺服器公網 IP>] 443 (https) open，則表明443連接埠已開放。否則需在安全性群組和防火牆中開放443連接埠。

      2. 在安全性群組配置開放443連接埠。

         重要

         若您的伺服器部署在雲平台，請確保其安全性群組已開放 443 連接埠 (TCP)，否則外部無法訪問服務。以下操作以阿里雲 ECS 為例，其他雲平台請參考其官方文檔。

         進入Elastic Compute Service執行個體，單擊目標執行個體名稱進入執行個體詳情頁面，請參考添加安全性群組規則，在安全性群組中添加一條授權策略為允許、協議類型為 TCP、目的連接埠範圍為 HTTPS(443)、授權對象為任何位置(0.0.0.0/0)的規則。

      3. 在防火牆中開放443連接埠。

         執行以下命令，識別系統當前的防火牆服務類型：

         if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
             echo "firewalld"
         elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
             echo "ufw"
         elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
             echo "nftables"
         elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
             echo "iptables"
         elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
             echo "iptables"
         else
             echo "none"
         fi

         若輸出為 none，則無需進一步操作。否則，請根據輸出的類型（firewalld、ufw、nftables、iptables），執行以下命令開放 443 連接埠：

         firewalld

         sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

         ufw

         sudo ufw allow 443/tcp

         nftables

         sudo nft add table inet filter 2>/dev/null
         sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
         sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

         iptables

         sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

         為避免 iptables 規則在系統重啟後失效，請執行以下命令持久化 iptables 規則：

         RHEL/CentOS

         sudo yum install -y iptables-services
         sudo service iptables save

         Debian/Ubuntu

         sudo apt-get install -y iptables-persistent
         sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

      Windows

      1. 在安全性群組中開放 443 連接埠

      重要

      若您的伺服器部署在雲平台，請確保其安全性群組已開放入方向 443 連接埠 (TCP)，否則外部無法訪問服務。以下操作以阿里雲 ECS 為例，其他雲平台請參考其官方文檔。

      1. 進入Elastic Compute Service執行個體頁面，選擇目標 ECS 執行個體所在地區，單擊目標執行個體名稱，進入執行個體詳情頁。

      2. 單擊安全性群組 > 內網入方向全部規則，確儲存在一條授權策略為允許、協議類型為 TCP、目的連接埠範圍為 HTTPS(443)、授權對象為任何位置(0.0.0.0/0)的規則。

      3. 如不存在上述規則，請參照添加安全性群組規則在目標安全性群組中添加相應規則。

      2. 在伺服器本地防火牆中開放 443 連接埠

      1. 登入Windows伺服器，單擊左下角開始菜單，開啟控制台。

      2. 點擊系統和安全 > Windows防火牆 > 檢查防火牆狀態。

      3. 如果防火牆處於如下圖的關閉狀態，無需額外操作。

      4. 如果防火牆已開啟，請參考以下步驟允許存取HTTPS規則。

         1. 單擊左側進階設定 > 入站規則，檢查是否存在協議為TCP，本地連接埠為443，操作為阻止的入站規則。

         2. 若存在此類規則，需要按右鍵相應規則並選擇屬性，在常規頁簽，將其修改為允許串連並應用。

    • 解決方案二：在認證申請面板，單擊撤回申請，修改網域名稱驗證方式為手動DNS驗證。

  • 存在301或302重新導向跳轉

    • 使用wget -S <URL地址>命令檢測該驗證URL地址是否存在跳轉。若返回 HTTP/1.1 301 Moved Permanently 或 HTTP/1.1 302 Found，則說明存在重新導向。

      wget -S http://<您的網域名稱>/.well-known/pki-validation/<驗證檔案名稱>

    • 刪除重新導向配置。以下為Nginx設定檔nginx.conf中301和302配置範例程式碼。

      301配置

      server {
          listen 80;
          server_name <您主網域名稱> <您的www子網域名稱>;
          return 301 跳轉網域名稱$request_uri;
      }

      302配置

      location /.well-known/ {
          return 302 <重新導向地址>
      }

  • 站台伺服器的網路安全裝置已設定白名單

    若伺服器防火牆或安全性群組等網路安全設定配置了允許訪問的IP白名單，請將 CA 的 IP 位址段臨時添加至白名單中，以確保伺服器可被CA訪問。

    CA廠商	IP
    DigiCert	216.168.247.9 64.78.193.238 216.168.249.9
    GlobalSign	211.123.204.251 180.222.177.99 114.179.250.1 114.179.250.2 27.115.18.218

• 控制台提示“檔案內容不正確。”怎麼辦？

  常見原因及解決方案如下：

  • 主網域名稱與www子網域名稱的未同時支援訪問驗證檔案

    無論申請的是主網域名稱 （如 aliyundoc.com）還是其 www 子網域名稱（如 www.aliyundoc.com），CA都將對這兩個地址同時進行檢查。請確保這兩個網域名稱下的驗證檔案均可被公開訪問，否則驗證將失敗。

    說明

    以www.aliyundoc.com和aliyundoc.com為例，需同時確保http://www.aliyundoc.com/.well-known/pki-validation/fileauth.txt和http://aliyundoc.com/.well-known/pki-validation/fileauth.txt均可被公網訪問。

  • Web 服務器中的驗證檔案與當前最新的驗證檔案內容不一致。

    在驗證資訊面板，單擊查看檢測到的檔案，確保其內容與當前最新的驗證檔案內容一致。若存在不一致，則重新下載和上傳驗證檔案，然後再次進行驗證。

  • 網站已啟用HTTPS訪問，但僅支援HTTP 訪問。

    • 解決方案一：將驗證檔案同時部署在HTTP和HTTPS服務路徑下，並確保HTTPS協議的正常訪問。

    • 解決方案二：臨時關閉對應網站涉及頁面的HTTPS服務。

  • 網站已啟用CDN服務，但未完成CDN服務節點海外資料同步。

    • 解決方案一：將驗證檔案同步到海外CDN服務節點，或者臨時關閉CDN海外加速服務。

    • 解決方案二：如果無法對CDN節點伺服器進行變更操作，可在認證申請面板，單擊撤回申請，修改網域名稱驗證方式為手動DNS驗證。

  • 驗證檔案時間戳記逾時。

    重新下載最新的驗證檔案並上傳至網站伺服器。