域名验证与 CNAME 委托

DNS 记录、网站文件、核准邮箱三种验证怎么选；通配符只能 DNS 或邮箱；CNAME 委托一次配置长期复验，请勿删除。

三种验证方式

购买与重签时可以选验证方式：DNS 记录、网站文件、核准邮箱。三种都能证明你控制这个域名，选顺手的即可；重签时也可以换一种。

通配符证书（*.example.com）按 CA/B 论坛规则只能用 DNS 记录或核准邮箱验证——HTTP 文件验证对通配符无效，购买页也不会提供这个选项。

核准邮箱只认五个构造地址：admin@、administrator@、webmaster@、hostmaster@、postmaster@ 加这个域名；域名注册信息里的其它邮箱自 2025 年 2 月起不再被接受，个人邮箱也不能用。

DNS 验证用的是一条一次性的 CNAME 委托记录，形如 _哈希.你的域 → _哈希.你的域.编号.dcv.验证域，把验证交给证书厂商的专用域完成。主机名里的哈希前缀由证书厂商生成并绑定这张证书，不能改成别的值，照原样添加即可。

一次配置、长期有效：之后的重签、续期，以及行业规则要求的到期重验（约 398 天），都通过同一条记录自动复验，不需要再改 DNS。这也是通配符证书首选的验证方式。

这条 CNAME 删除后，免费重签与服务器自动重签都会失败。

证书签发后在控制台证书详情的「DNS 验证委托」卡片里随时能看到这条记录，卡片上的「检测 DNS」直接查权威服务器确认它在位；误删后按原记录重新添加即可恢复，记录值不变。

2026 年 3 月起，证书厂商对启用了 DNSSEC 的域名强制核验 DNSSEC。DNSSEC 配置有误会导致验证失败，请先修正 DNSSEC 再发起验证。