域名所有权验证

DV证书域名所有权验证

OV和EV证书域名所有权验证

提交OV或EV证书申请后，CA将在1个工作日左右（以其当地时区为准，节假日顺延），通过申请时预留的电话或邮箱与您联系。

电话

CA工作人员将通过证书申请时填写的联系人电话，与您联系并验证证书申请信息。请保持联系人电话畅通，能够正常接听CA的验证电话。

邮件

CA将向证书申请时填写的联系人邮箱发送一封域名验证邮件。请及时关注电子邮件，并按邮件指引进行相关操作。

不同证书品牌的邮件内容存在差异，以下邮件内容仅供参考，请以实际收到的邮件为准。

GlobalSign

vTrus

CFCA

DNS验证

• 自动验证方式是否支持更改？

  不支持。若需更改，请切换至其他阿里云账号购买证书或进行域名解析。

• 如何检测DNS解析记录是否生效？

  阿里云提供网络拨测工具可帮助您检测解析记录是否生效。检测步骤如下：

  1. 在证书申请面板，单击查看记录值。

     

  2. 在网络拨测工具页签，单击立即检测。

     

  3. 若检测结果列表中的解析结果与您配置的解析记录值一致时，代表解析正常生效。

• 控制台提示“未检测到DNS记录值”怎么办？

  常见原因及解决方案如下：

  1. 未添加域名解析记录。

     请参见域名所有权验证，在对应的DNS域名解析服务商，手动添加一条CNAME或TXT类型的解析记录用于验证域名所有权。

  2. 控制台验证解析延迟。

     如果您已正确添加域名解析记录，但仍提示“未检测到DNS记录值”，可能是控制台验证延迟导致的。无需任何操作，耐心等待重试即可。

  3. SSL证书绑定域名和DNS域名解析对应的域名不一致。

     说明

     非阿里云DNS解析服务商的用户，请前往对应DNS解析供应商确认域名。

     1. 确认域名是否一致

     2. 在SSL证书验证页点击修改，重新填写证书绑定域名后再次提交审核。

• 控制台提示“DNS记录值不匹配”怎么办？

  常见原因及解决方案如下：

  1. DNS解析记录值配置错误。

     将证书申请的主机记录和记录值重新复制到DNS解析的配置中。

     

  2. 使用了DNSPod或其他域名解析服务商解析域名。

     您可以暂时忽略控制台提示的相关错误，按要求在DNSPod或其他域名解析服务商配置DNS的解析记录后，等待CA验证即可。

  3. DigiCert品牌的DV证书，解析记录值超过24小时。

     1. 删除已超过24小时的TXT解析记录值。

     2. 访问数字证书管理服务控制台，重新申请目标证书，获取最新的TXT解析记录值。

     3. 前往域名解析服务商平台重新添加新的TXT解析记录值。

     说明

     GeoTrust品牌的DV型证书时间戳始终有效。

  4. 记录值未同步至海外DNS。

     动态域名解析记录同步延迟，导致海外权威DNS服务器无法获取最新的TXT记录值。检查您的动态解析服务是否正常运行，耐心等待即可。

• 控制台提示“验证超时，请重试。”怎么办？

  站点服务器的网络异常，请联系对应的域名服务商，检查并修复网络情况。

• 为什么域名解析已经生效，但是控制台验证仍旧不通过？

  控制台验证存在一定的延迟，可等待1分钟左右后再次重试。

• 域名存在 CAA 解析记录导致验证失败

  说明

  CAA（Certification Authority Authorization, 证书颁发机构授权） 是一种 DNS 记录类型，它允许域名所有者通过 DNS 明确指定哪些 CA（证书颁发机构）被授权为自己的域名签发 SSL/TLS 证书。这样可以有效防止非法或错误的证书签发，提升网站安全。

  • 解决方案一：请前往域名DNS解析服务商（如：云DNS解析控制台），在域名的解析配置页，将记录类型为“CAA”的解析记录删除，操作完成后重新申请证书即可。

  • 解决方案二：将证书对应的CA机构加入CAA 解析记录，操作完成后重新申请证书即可。

  说明

  若当前域名的 CNAME 指向 github.io域名，将同步引用 github.io 的 CAA 策略从而影响到证书的签发。此时，请在证书签发前暂停该 CNAME 记录，或将 CAA 记录添加 trust-provider.com、globalsign.com 、sectigo.com。

• 域名解析供应商不是阿里云，如何配置域名解析记录？

  方案	操作方法	优点
  在原服务商配置	登录您当前域名平台，添加从阿里云获取SSL证书验证记录 (CNAME/TXT)。 说明 若有疑问请联系您的域名解析供应商。	快速直接，无需转移域名。
  将域名转入阿里云	参考域名转入阿里云完成转入后，在云解析DNS控制台完成DNS解析配置。 重要 域名转入时您需交纳一年的续费费用，即域名转入价格为域名续费一年的价格。	方便未来证书续签和域名统一管理。

文件验证

• 控制台提示“未检测到文件”怎么办？

  常见原因及解决方案如下：

  • 未上传验证文件至服务器指定目录。

    请参见域名所有权验证，将验证文件上传至站点服务器的指定验证目录（.well-known/pki-validation/）。

  • 控制台文件验证延迟。

    如果您已上传验证文件至服务器对应目录，且访问URL地址（HTTPS地址和HTTP地址），能够访问到验证文件内容，但是控制台仍提示“未检测到文件”。可能是控制台文件验证延迟导致的，您无需任何操作，耐心等待重试即可。

• 控制台提示“验证超时，请重试。”怎么办？

  常见原因及解决方案如下：

  • 未开放服务器的80或443端口。

    目前CA中心仅支持通过访问HTTPS地址和HTTP地址（443端口和80端口），验证是否可以访问到验证文件内容。

    • 解决方案一：开放80或443端口。

      如何开放80或443端口？

      Linux

      1. 在服务器终端执行以下命令，检测443端口的开放情况：

         RHEL/CentOS

         command -v nc > /dev/null 2>&1 || sudo yum install -y nc
         # 请将以下的 <当前服务器的公网 IP> 替换为当前服务器的公网 IP
         sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <当前服务器的公网 IP> 443

         如果输出 Ncat: Connected to <当前服务器公网 IP>:443，则表明443端口已开放。否则需在安全组和防火墙中开放443端口。

         Debian/Ubuntu

         command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
         # 请将以下的 <当前服务器的公网 IP> 替换为当前服务器的公网 IP
         sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <当前服务器的公网 IP> 443

         若输出 Connection to <当前服务器公网 IP> port [tcp/https] succeeded! 或 [<当前服务器公网 IP>] 443 (https) open，则表明443端口已开放。否则需在安全组和防火墙中开放443端口。

      2. 在安全组配置开放443端口。

         重要

         若您的服务器部署在云平台，请确保其安全组已开放 443 端口 (TCP)，否则外部无法访问服务。以下操作以阿里云 ECS 为例，其他云平台请参考其官方文档。

         进入云服务器ECS实例，单击目标实例名称进入实例详情页面，请参考添加安全组规则，在安全组中添加一条授权策略为允许、协议类型为 TCP、目的端口范围为 HTTPS(443)、授权对象为任何位置(0.0.0.0/0)的规则。

      3. 在防火墙中开放443端口。

         执行以下命令，识别系统当前的防火墙服务类型：

         if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
             echo "firewalld"
         elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
             echo "ufw"
         elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
             echo "nftables"
         elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
             echo "iptables"
         elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
             echo "iptables"
         else
             echo "none"
         fi

         若输出为 none，则无需进一步操作。否则，请根据输出的类型（firewalld、ufw、nftables、iptables），执行以下命令开放 443 端口：

         firewalld

         sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

         ufw

         sudo ufw allow 443/tcp

         nftables

         sudo nft add table inet filter 2>/dev/null
         sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
         sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

         iptables

         sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

         为避免 iptables 规则在系统重启后失效，请执行以下命令持久化 iptables 规则：

         RHEL/CentOS

         sudo yum install -y iptables-services
         sudo service iptables save

         Debian/Ubuntu

         sudo apt-get install -y iptables-persistent
         sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

      Windows

      1. 在安全组中开放 443 端口

      重要

      若您的服务器部署在云平台，请确保其安全组已开放入方向 443 端口 (TCP)，否则外部无法访问服务。以下操作以阿里云 ECS 为例，其他云平台请参考其官方文档。

      1. 进入云服务器ECS实例页面，选择目标 ECS 实例所在地域，单击目标实例名称，进入实例详情页。

      2. 单击安全组 > 内网入方向全部规则，确保存在一条授权策略为允许、协议类型为 TCP、目的端口范围为 HTTPS(443)、授权对象为任何位置(0.0.0.0/0)的规则。

      3. 如不存在上述规则，请参照添加安全组规则在目标安全组中添加相应规则。

      2. 在服务器本地防火墙中开放 443 端口

      1. 登录Windows服务器，单击左下角开始菜单，打开控制面板。

      2. 点击系统和安全 > Windows防火墙 > 检查防火墙状态。

      3. 如果防火墙处于如下图的关闭状态，无需额外操作。

      4. 如果防火墙已开启，请参考以下步骤放行HTTPS规则。

         1. 单击左侧高级设置 > 入站规则，检查是否存在协议为TCP，本地端口为443，操作为阻止的入站规则。

         2. 若存在此类规则，需要右键单击相应规则并选择属性，在常规页签，将其修改为允许连接并应用。

    • 解决方案二：在证书申请面板，单击撤回申请，修改域名验证方式为手动DNS验证。

  • 存在301或302重定向跳转

    • 使用wget -S <URL地址>命令检测该验证URL地址是否存在跳转。若返回 HTTP/1.1 301 Moved Permanently 或 HTTP/1.1 302 Found，则说明存在重定向。

      wget -S http://<您的域名>/.well-known/pki-validation/<验证文件名>

    • 删除重定向配置。以下为Nginx配置文件nginx.conf中301和302配置示例代码。

      301配置

      server {
          listen 80;
          server_name <您主域名> <您的www子域名>;
          return 301 跳转域名$request_uri;
      }

      302配置

      location /.well-known/ {
          return 302 <重定向地址>
      }

  • 站点服务器的网络安全设备已设置白名单

    若服务器防火墙或安全组等网络安全设置配置了允许访问的IP白名单，请将 CA 的 IP 地址段临时添加至白名单中，以确保服务器可被CA访问。

    CA厂商	IP
    WoSign	91.199.212.132 91.199.212.133 91.199.212.148 91.199.212.151 91.199.212.176 91.212.12.132
    Vtrus	194.126.216.17 213.222.200.26 213.222.200.15 213.222.201.155 213.222.198.155
    DigiCert	216.168.247.9 64.78.193.238 216.168.249.9
    GlobalSign	211.123.204.251 180.222.177.99 114.179.250.1 114.179.250.2 27.115.18.218
    CFCA	1.202.139.200 210.74.41.60

• 控制台提示“文件内容不正确。”怎么办？

  常见原因及解决方案如下：

  • 主域名与www子域名的未同时支持访问验证文件

    无论申请的是主域名 （如 aliyundoc.com）还是其 www 子域名（如 www.aliyundoc.com），CA都将对这两个地址同时进行检查。请确保这两个域名下的验证文件均可被公开访问，否则验证将失败。

    说明

    以www.aliyundoc.com和aliyundoc.com为例，需同时确保http://www.aliyundoc.com/.well-known/pki-validation/fileauth.txt和http://aliyundoc.com/.well-known/pki-validation/fileauth.txt均可被公网访问。

  • Web 服务器中的验证文件与当前最新的验证文件内容不一致。

    在验证信息面板，单击查看检测到的文件，确保其内容与当前最新的验证文件内容一致。若存在不一致，则重新下载和上传验证文件，然后再次进行验证。

  • 站点已启用HTTPS访问，但仅支持HTTP 访问。

    • 解决方案一：将验证文件同时部署在HTTP和HTTPS服务路径下，并确保HTTPS协议的正常访问。

    • 解决方案二：临时关闭对应站点涉及页面的HTTPS服务。

  • 站点已启用CDN服务，但未完成CDN服务节点海外数据同步。

    • 解决方案一：将验证文件同步到海外CDN服务节点，或者临时关闭CDN海外加速服务。

    • 解决方案二：如果无法对CDN节点服务器进行变更操作，可在证书申请面板，单击撤回申请，修改域名验证方式为手动DNS验证。

  • 验证文件时间戳超时。

    重新下载最新的验证文件并上传至网站服务器。