数字证书管理服务：域名所有权验证

适用范围相关说明

• 公司名义申请SSL证书能否证明公司对证书的所有权？

  SSL证书验证的是申请者对域名的控制权，而非公司所有权。SSL证书的OV（组织验证）和EV（增强验证）类型会在证书中包含公司名称信息，但这仅表示该公司对指定域名拥有使用权，不等同于公司对证书本身的法律所有权。

• 从第三方购买的证书如何验证所有权？

  对于从第三方购买的证书，验证方法请咨询原购买平台。

DV证书域名所有权验证

OV和EV证书域名所有权验证

提交OV或EV证书申请后，CA将在1个工作日左右（以其当地时区为准，节假日顺延），通过公司注册登记信息（非系统中填写的申请人信息）中的电话或邮箱与您联系。

电话

CA工作人员将通过公司注册登记信息中的电话（非系统中填写的联系人电话），与您联系并验证证书申请信息。请保持电话畅通，能够正常接听CA的验证电话。

邮件

CA将向公司注册登记信息中的邮箱（非系统中填写的联系人邮箱）发送一封域名验证邮件。请及时关注电子邮件，并按邮件指引进行相关操作。

不同证书品牌的邮件内容存在差异，以下邮件内容仅供参考，请以实际收到的邮件为准。

DNS验证

• 自动验证方式是否支持更改？

  不支持。若需更改，请切换至其他阿里云账号购买证书或进行域名解析。

• 如何检测DNS解析记录是否生效？

  检测步骤如下：

  1. 在证书列表中找到当前证书状态为审核中的证书记录。

  2. 单击操作列下的验证。

  3. 单击验证，如提示未检测到DNS记录值，单击查看记录值，系统会跳转到域名解析工具中。

  4. 在域名解析工具中解析DNS，判断解析记录是否生效。

• 控制台提示“未检测到DNS记录值”怎么办？

  常见原因及解决方案如下：

  1. 未添加域名解析记录。

     请参见域名所有权验证，前往您对应的 DNS 域名解析服务商，手动添加一条TXT 类型的解析记录，用于验证域名所有权。

  2. 控制台验证存在延迟。

     如果您已正确添加域名解析记录，但仍提示"未检测到DNS记录值"，可能是控制台的验证存在解析延迟。您无需任何操作，耐心等待后重试即可。

  3. SSL 证书绑定的域名与 DNS 解析的域名不一致。

     说明

     如果您使用的不是阿里云 DNS 解析服务，请前往对应的 DNS 解析服务商确认域名信息。

     1. 确认域名是否一致。

     2. 在 SSL 证书验证页面单击修改，重新填写证书绑定域名后再次提交审核。

• 控制台提示“DNS记录值不匹配”怎么办？

  常见原因及解决方案如下：

  1. DNS 解析记录值配置错误。

     请重新从证书申请页面复制主机记录和记录值，粘贴到 DNS 解析配置中。

  2. 使用 DNSPod 或其他第三方 DNS 服务商。

     您可以忽略控制台提示的相关错误，直接在 DNSPod 或其他 DNS 服务商处按要求配置 DNS 解析记录，然后等待 CA 验证即可。

  3. DigiCert 品牌的 DV 证书，解析记录值已超过 24 小时。

     1. 删除已超过 24 小时的 TXT 解析记录。

     2. 前往数字证书管理服务控制台，重新申请目标证书，获取最新的 TXT 解析记录值。

     3. 前往域名解析服务商平台重新添加新的 TXT 解析记录。

     说明

     GeoTrust 品牌的 DV 证书时间戳始终有效，不受此限制。

  4. 记录值未同步至海外 DNS。

     动态解析记录的同步可能出现延迟，导致海外权威 DNS 服务器无法获取最新的 TXT 记录值。请检查动态解析服务是否正常运行，耐心等待即可。

• 控制台提示“验证超时，请重试。”怎么办？

  站点服务器的网络异常，请联系对应的域名服务商，检查并修复网络情况。

• 为什么域名解析已经生效，但是控制台验证仍旧不通过？

  控制台验证存在一定的延迟，可等待1分钟左右后再次重试。

• 域名存在 CAA 解析记录导致验证失败

  说明

  CAA（Certification Authority Authorization, 证书颁发机构授权） 是一种 DNS 记录类型，它允许域名所有者通过 DNS 明确指定哪些 CA（证书颁发机构）被授权为自己的域名签发 SSL/TLS 证书。这样可以有效防止非法或错误的证书签发，提升网站安全。

  • 解决方案一：请前往域名DNS解析服务商（如：云DNS解析控制台），在域名的解析配置页，将记录类型为“CAA”的解析记录删除，操作完成后重新申请证书即可。

  • 解决方案二：将证书对应的CA机构加入CAA 解析记录，操作完成后重新申请证书即可。

  说明

  若当前域名的 CNAME 指向 github.io域名，将同步引用 github.io 的 CAA 策略从而影响到证书的签发。此时，请在证书签发前暂停该 CNAME 记录，或将 CAA 记录添加 trust-provider.com、globalsign.com 、sectigo.com。

• 域名解析供应商不是阿里云，如何配置域名解析记录？

  方案	操作方法	优点
  在原服务商配置	登录当前域名管理平台，添加从阿里云获取的 SSL 证书验证记录（TXT）。 说明 如有疑问，请联系您的域名解析服务商。	快速直接，无需转移域名。
  将域名转入阿里云	参考域名转入阿里云完成转入后，在云解析 DNS 控制台完成 DNS 解析配置。 重要 域名转入时需交纳一年的续费费用，即转入价格为域名续费一年的价格。	便于后续证书续签和域名的统一管理。

文件验证

• 控制台提示“未检测到文件”怎么办？

  常见原因及解决方案如下：

  • 未上传验证文件至服务器指定目录。

    请参见验证域名所有权，将验证文件上传至站点服务器的指定验证目录（.well-known/pki-validation/）。

  • 控制台文件验证延迟。

    如果您已上传验证文件至服务器对应目录，且访问URL地址（HTTPS地址和HTTP地址），能够访问到验证文件内容，但是控制台仍提示配置失败，请稍后再试。。可能是控制台文件验证延迟导致的，您无需任何操作，耐心等待重试即可。

• 控制台提示“验证超时，请重试。”怎么办？

  常见原因及解决方案如下：

  • 未开放服务器的80或443端口。

    目前CA中心仅支持通过访问HTTPS地址和HTTP地址（443端口和80端口），验证是否可以访问到验证文件内容。

    • 解决方案一：开放80或443端口。

      如何开放80或443端口？

      Linux

      1. 在服务器终端执行以下命令，检测443端口的开放情况：

         RHEL/CentOS

         command -v nc > /dev/null 2>&1 || sudo yum install -y nc
         # 请将以下的 <当前服务器的公网 IP> 替换为当前服务器的公网 IP
         sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <当前服务器的公网 IP> 443

         如果输出 Ncat: Connected to <当前服务器公网 IP>:443，则表明443端口已开放。否则需在安全组和防火墙中开放443端口。

         Debian/Ubuntu

         command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
         # 请将以下的 <当前服务器的公网 IP> 替换为当前服务器的公网 IP
         sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <当前服务器的公网 IP> 443

         若输出 Connection to <当前服务器公网 IP> port [tcp/https] succeeded! 或 [<当前服务器公网 IP>] 443 (https) open，则表明443端口已开放。否则需在安全组和防火墙中开放443端口。

      2. 在安全组配置开放443端口。

         请确保安全组已开放 443 端口 (TCP)，否则外部无法访问服务。以下操作以阿里云 ECS 为例：

         1. 进入云服务器ECS实例页面，选择目标 ECS 实例所在地域，单击目标实例名称，进入实例详情页。

         2. 单击安全组 > 内网入方向全部规则，确保存在一条授权策略为允许、协议类型为 TCP、目的端口范围为 HTTPS(443)、授权对象为任何位置(0.0.0.0/0)（或其它地址，确保 PC 可远程访问即可）的规则。

         3. 如不存在上述规则，请参照添加安全组规则在目标安全组中添加相应规则。

      3. 在防火墙中开放443端口。

         执行以下命令，识别系统当前的防火墙服务类型：

         if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
             echo "firewalld"
         elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
             echo "ufw"
         elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
             echo "nftables"
         elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
             echo "iptables"
         elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
             echo "iptables"
         else
             echo "none"
         fi

         若输出为 none，则无需进一步操作。否则，请根据输出的类型（firewalld、ufw、nftables、iptables），执行以下命令开放 443 端口：

         firewalld

         sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

         ufw

         sudo ufw allow 443/tcp

         nftables

         sudo nft add table inet filter 2>/dev/null
         sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
         sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

         iptables

         sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

         为避免 iptables 规则在系统重启后失效，请执行以下命令持久化 iptables 规则：

         RHEL/CentOS

         sudo yum install -y iptables-services
         sudo service iptables save

         Debian/Ubuntu

         sudo apt-get install -y iptables-persistent
         sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

      Windows

      1. 在安全组中开放 443 端口

      请确保安全组已开放 443 端口 (TCP)，否则外部无法访问服务。以下操作以阿里云 ECS 为例：

      1. 进入云服务器ECS实例页面，选择目标 ECS 实例所在地域，单击目标实例名称，进入实例详情页。

      2. 单击安全组 > 内网入方向全部规则，确保存在一条授权策略为允许、协议类型为 TCP、目的端口范围为 HTTPS(443)、授权对象为任何位置(0.0.0.0/0)（或其它地址，确保 PC 可远程访问即可）的规则。

      3. 如不存在上述规则，请参照添加安全组规则在目标安全组中添加相应规则。

      2. 在服务器本地防火墙中开放 443 端口

      1. 登录Windows服务器，单击左下角开始菜单，打开控制面板。

      2. 点击。

      3. 如果防火墙处于如下图的关闭状态，无需额外操作。

      4. 如果防火墙已开启，请参考以下步骤放行HTTPS规则。

         1. 单击左侧，检查是否存在协议为TCP，本地端口为443，操作为阻止的入站规则。

         2. 若存在此类规则，需要右键单击相应规则并选择属性，在常规页签，将其修改为允许连接并应用。

    • 解决方案二：在证书申请面板，单击撤回申请，修改域名验证方式为手动DNS验证。

  • 存在301或302重定向跳转

    • 使用wget -S <URL地址>命令检测该验证URL地址是否存在跳转。若返回 HTTP/1.1 301 Moved Permanently 或 HTTP/1.1 302 Found，则说明存在重定向。

      wget -S http://<您的域名>/.well-known/pki-validation/<验证文件名>

    • 删除重定向配置。以下为Nginx配置文件nginx.conf中301和302配置示例代码。

      301配置

      server {
          listen 80;
          server_name <您主域名> <您的www子域名>;
          return 301 跳转域名$request_uri;
      }

      302配置

      location /.well-known/ {
          return 302 <重定向地址>
      }

  • 站点服务器的网络安全设备已设置白名单

    若服务器防火墙或安全组等网络安全设置配置了允许访问的IP白名单，请将 CA 的 IP 地址段临时添加至白名单中，以确保服务器可被CA访问。

    CA 厂商	IP 地址
    DigiCert	216.168.247.9 64.78.193.238 216.168.249.9
    GlobalSign	211.123.204.251 180.222.177.99 114.179.250.1 114.179.250.2 27.115.18.218

• 控制台提示“文件内容不正确。”怎么办？

  常见原因及解决方案如下：

  • 主域名与www子域名的未同时支持访问验证文件

    无论申请的是主域名 （如 aliyundoc.com）还是其 www 子域名（如 www.aliyundoc.com），CA都将对这两个地址同时进行检查。请确保这两个域名下的验证文件均可被公开访问，否则验证将失败。

    说明

    以www.aliyundoc.com和aliyundoc.com为例，需同时确保http://www.aliyundoc.com/.well-known/pki-validation/fileauth.txt和http://aliyundoc.com/.well-known/pki-validation/fileauth.txt均可被公网访问。

  • Web 服务器中的验证文件与当前最新的验证文件内容不一致。

    在验证信息面板，单击查看检测到的文件，确保其内容与当前最新的验证文件内容一致。若存在不一致，则重新下载和上传验证文件，然后再次进行验证。单击查看检测到的文件，在弹出的对话框中对比需要您添加的文件（专有验证文件）与检测到的文件，确认服务器上实际存放的验证文件内容是否与最新的专有验证文件一致。

  • 站点已启用HTTPS访问，但仅支持HTTP 访问。

    • 解决方案一：将验证文件同时部署在HTTP和HTTPS服务路径下，并确保HTTPS协议的正常访问。

    • 解决方案二：临时关闭对应站点涉及页面的HTTPS服务。

  • 站点已启用CDN服务，但未完成CDN服务节点海外数据同步。

    • 解决方案一：将验证文件同步到海外CDN服务节点，或者临时关闭CDN海外加速服务。

    • 解决方案二：如果无法对CDN节点服务器进行变更操作，可在证书申请面板，单击撤回申请，修改域名验证方式为手动DNS验证。

  • 验证文件时间戳超时。

    重新下载最新的验证文件并上传至网站服务器。