域名所有权验证相关问题

您可以使用阿里云提供的网络拨测工具检测解析记录是否生效。操作步骤如下：

常见原因及解决方案如下：

1. 未添加域名解析记录。

   请参见域名所有权验证，前往您对应的 DNS 域名解析服务商，手动添加一条CNAME 或TXT 类型的解析记录，用于验证域名所有权。

2. 控制台验证存在延迟。

   如果您已正确添加域名解析记录，但仍提示"未检测到DNS记录值"，可能是控制台的验证存在解析延迟。您无需任何操作，耐心等待后重试即可。

3. SSL 证书绑定的域名与 DNS 解析的域名不一致。

   说明

   如果您使用的不是阿里云 DNS 解析服务，请前往对应的 DNS 解析服务商确认域名信息。

   1. 确认域名是否一致。

   2. 在 SSL 证书验证页面单击修改，重新填写证书绑定域名后再次提交审核。

常见原因及解决方案如下：

1. DNS 解析记录值配置错误。

   请重新从证书申请页面复制主机记录和记录值，粘贴到 DNS 解析配置中。

2. 使用 DNSPod 或其他第三方 DNS 服务商。

   您可以忽略控制台提示的相关错误，直接在 DNSPod 或其他 DNS 服务商处按要求配置 DNS 解析记录，然后等待 CA 验证即可。

3. DigiCert 品牌的 DV 证书，解析记录值已超过 24 小时。

   1. 删除已超过 24 小时的 TXT 解析记录。

   2. 前往数字证书管理服务控制台，重新申请目标证书，获取最新的 TXT 解析记录值。

   3. 前往域名解析服务商平台重新添加新的 TXT 解析记录。

   说明

   GeoTrust 品牌的 DV 证书时间戳始终有效，不受此限制。

4. 记录值未同步至海外 DNS。

   动态解析记录的同步可能出现延迟，导致海外权威 DNS 服务器无法获取最新的 TXT 记录值。请检查动态解析服务是否正常运行，耐心等待即可。

域名服务器的网络异常。请联系对应的域名服务商，检查并修复网络问题。

常见原因及解决方案如下：

1. 未上传验证文件至服务器指定目录。

   请参见域名所有权验证，将验证文件上传至站点服务器的指定验证目录（.well-known/pki-validation/）。

2. 控制台文件验证存在延迟。

   如果您已将验证文件上传至服务器对应目录，且通过HTTPS地址和HTTP地址均能正常访问到验证文件内容，但控制台仍提示"未检测到文件"，可能是控制台的文件验证存在延迟。您无需任何操作，耐心等待后重试即可。

常见原因及解决方案如下：

1. 服务器未开放 80 或 443 端口。

   CA 中心仅支持通过HTTPS地址和HTTP地址（即 443 端口和 80 端口）访问来验证文件内容。

   方案一：开放 80 或 443 端口。

   如何开放 80 或 443 端口？

   Linux

   1. 在服务器终端执行以下命令，检测443端口的开放情况：

      RHEL/CentOS

      command -v nc > /dev/null 2>&1 || sudo yum install -y nc
      # 请将以下的 <当前服务器的公网 IP> 替换为当前服务器的公网 IP
      sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <当前服务器的公网 IP> 443

      如果输出 Ncat: Connected to <当前服务器公网 IP>:443，则表明443端口已开放。否则需在安全组和防火墙中开放443端口。

      Debian/Ubuntu

      command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
      # 请将以下的 <当前服务器的公网 IP> 替换为当前服务器的公网 IP
      sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <当前服务器的公网 IP> 443

      若输出 Connection to <当前服务器公网 IP> port [tcp/https] succeeded! 或 [<当前服务器公网 IP>] 443 (https) open，则表明443端口已开放。否则需在安全组和防火墙中开放443端口。

   2. 在安全组配置开放443端口。

      请确保安全组已开放 443 端口 (TCP)，否则外部无法访问服务。以下操作以阿里云 ECS 为例：

      1. 进入云服务器ECS实例页面，选择目标 ECS 实例所在地域，单击目标实例名称，进入实例详情页。

      2. 单击安全组 > 内网入方向全部规则，确保存在一条授权策略为允许、协议类型为 TCP、目的端口范围为 HTTPS(443)、授权对象为任何位置(0.0.0.0/0)（或其它地址，确保 PC 可远程访问即可）的规则。

      3. 如不存在上述规则，请参照添加安全组规则在目标安全组中添加相应规则。

   3. 在防火墙中开放443端口。

      执行以下命令，识别系统当前的防火墙服务类型：

      if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
          echo "firewalld"
      elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
          echo "ufw"
      elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
          echo "nftables"
      elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
          echo "iptables"
      elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
          echo "iptables"
      else
          echo "none"
      fi

      若输出为 none，则无需进一步操作。否则，请根据输出的类型（firewalld、ufw、nftables、iptables），执行以下命令开放 443 端口：

      firewalld

      sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

      ufw

      sudo ufw allow 443/tcp

      nftables

      sudo nft add table inet filter 2>/dev/null
      sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
      sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

      iptables

      sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

      为避免 iptables 规则在系统重启后失效，请执行以下命令持久化 iptables 规则：

      RHEL/CentOS

      sudo yum install -y iptables-services
      sudo service iptables save

      Debian/Ubuntu

      sudo apt-get install -y iptables-persistent
      sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

   Windows

   1. 在安全组中开放 443 端口

   请确保安全组已开放 443 端口 (TCP)，否则外部无法访问服务。以下操作以阿里云 ECS 为例：

   1. 进入云服务器ECS实例页面，选择目标 ECS 实例所在地域，单击目标实例名称，进入实例详情页。

   2. 单击安全组 > 内网入方向全部规则，确保存在一条授权策略为允许、协议类型为 TCP、目的端口范围为 HTTPS(443)、授权对象为任何位置(0.0.0.0/0)（或其它地址，确保 PC 可远程访问即可）的规则。

   3. 如不存在上述规则，请参照添加安全组规则在目标安全组中添加相应规则。

   2. 在服务器本地防火墙中开放 443 端口

   1. 登录Windows服务器，单击左下角开始菜单，打开控制面板。

   2. 点击。

   3. 如果防火墙处于如下图的关闭状态，无需额外操作。

   4. 如果防火墙已开启，请参考以下步骤放行HTTPS规则。

      1. 单击左侧，检查是否存在协议为TCP，本地端口为443，操作为阻止的入站规则。

      2. 若存在此类规则，需要右键单击相应规则并选择属性，在常规页签，将其修改为允许连接并应用。

   方案二：在证书申请面板中，单击撤回申请，将域名验证方式修改为手动DNS验证。

2. 存在 301 或 302 重定向跳转。

   • 使用wget -S <URL地址>命令检测验证 URL 是否存在跳转。如果返回 HTTP/1.1 301 Moved Permanently 或 HTTP/1.1 302 Found，则说明存在重定向。

     wget -S http://<您的域名>/.well-known/pki-validation/<验证文件名>

   • 删除重定向配置。以下为 Nginx 配置文件 nginx.conf 中 301 和 302 的配置示例。

     301 配置

     server {
         listen 80;
         server_name <您主域名> <您的www子域名>;
         return 301 跳转域名$request_uri;
     }

     302 配置

     location /.well-known/ {
         return 302 <重定向地址>
     }

• CA 境外 IP 被防火墙拦截（域名站点不支持境外访问）。

  如果您申请的是国际品牌证书（如 DigiCert、GlobalSign），但证书绑定域名的站点限制了境外 IP 访问，可临时将 CA 中心的 IP 地址添加到域名服务器的白名单中。

  说明

  • 获取 CA 中心 IP 地址的方法，可参见CA 中心地址，也可联系产品技术专家进行咨询，详情请参见。

  • 证书签发后，建议删除已配置的 IP 白名单，以免后续申请证书时出现异常。

• 域名服务器的网络异常。

  请联系对应的域名服务商，检查并修复网络问题。

• 个人测试证书申请的域名包含敏感词。

  方案一：更换不含敏感词（如 edu、gov、org、jp 等国家缩写，以及 pay、bank、live、nuclear 等）的域名，重新发起申请。

  方案二：如域名无法更改，请购买 OV 或 EV 证书，或选择 vTrus（国产品牌）证书。

常见原因及解决方案如下：

1. 域名服务器下存在旧的验证文件未删除。

   1. 在证书申请面板中，单击查看检测到的文件，记录已检测到的文件信息。

   2. 前往域名服务器，删除已检测到的旧文件。

      说明

      旧文件通常位于站点根目录/.well-known/pki-validation目录下。

   3. 请参见域名所有权验证，重新下载最新的验证文件并上传至域名服务器。

2. 验证文件仅部署在 HTTP 路径下，未部署在 HTTPS 路径下。

   部分站点页面已启用 HTTPS 访问，但验证文件仅部署在 HTTP 服务路径下，未同步部署到 HTTPS 服务路径，从而导致验证失败。

   方案一：将验证文件同时部署在 HTTP 和 HTTPS 服务路径下，并确保 HTTPS 协议可正常访问。

   方案二：临时关闭对应站点涉及页面的 HTTPS 服务。

3. 启用了 CDN 服务，但 CDN 海外节点尚未完成数据同步。

   方案一：将验证文件同步到海外 CDN 节点，或临时关闭 CDN 海外加速服务。

   方案二：如果无法更改 CDN 节点服务器配置，可在证书申请面板中，单击撤回申请，将域名验证方式修改为手动DNS验证。

4. 验证文件时间戳已过期。

   前往数字证书管理服务控制台，重新下载最新的验证文件并上传到站点指定目录。

• www 子域名和主域名未同时覆盖验证。

  根据 CA 的验证规范，无论您申请的是主域名还是其 www 子域名，CA 都会对这两个地址同时进行检查。请务必确保两个域名下的验证文件均可被公开访问，否则验证将失败。

  说明

  以 www.example.com 和 aliyundoc.com 为例，您需要确保 http://www.example.com/.well-known/pki-validation/fileauth.txt 和 http://example.com/.well-known/pki-validation/fileauth.txt 均可被访问，否则验证无法通过。

• 未确保 HTTPS 服务可访问验证文件。

  如果服务器已启用 HTTPS 服务，需确保可通过HTTPS地址访问到验证文件内容，否则验证将失败。建议您临时关闭该域名的 HTTPS 服务。

  说明

  如果服务器未配置过 HTTPS 服务，只需确保HTTP地址可以访问到验证文件内容即可。

不支持。详情可参见【通知】申请通配符证书不再支持文件验证。