คำอธิบายการตรวจสอบสิทธิ์โดเมน

การตรวจสอบสิทธิ์โดเมน (Domain Verification) เป็นขั้นตอนหลักของการขอใบรับรอง SSL โดยยืนยันสิทธิ์ควบคุมโดเมนผ่านระเบียน DNS การอัปโหลดไฟล์ หรือการยืนยันอีเมล จุดประสงค์หลักคือ การป้องกันการใช้งานโดยไม่ได้รับอนุญาต เพื่อให้มั่นใจว่าเฉพาะเจ้าของโดเมนที่ถูกต้องตามกฎหมายเท่านั้นที่สามารถขอใบรับรองได้

1. เหตุใดจึงต้องตรวจสอบสิทธิ์โดเมน

การตรวจสอบสิทธิ์โดเมนเป็นหนึ่งในขั้นตอนที่จำเป็นในกระบวนการออกใบรับรอง SSL โดยมีเหตุผลหลักดังนี้

1. ยืนยันสิทธิ์การจัดการโดเมน

โดยการเพิ่มระเบียน DNS หรือการตรวจสอบด้วยไฟล์/อีเมล เป็นต้น เพื่อให้ CA ยอมรับสิทธิ์การจัดการโดเมนของผู้สมัคร ยืนยันสิทธิ์ควบคุมโดเมนของผู้สมัคร และป้องกันบุคคลที่สามแอบอ้างผู้อื่นเพื่อรับใบรับรอง

2. ป้องกันการโจมตีแบบฟิชชิง

กระบวนการตรวจสอบสิทธิ์โดเมนสามารถหยุดผู้โจมตีไม่ให้ปลอมแปลงโดเมนที่ถูกต้องเพื่อสร้างเว็บไซต์ฟิชชิงได้อย่างมีประสิทธิภาพ ปกป้องผู้ใช้จากความเสี่ยงการรั่วไหลของข้อมูลละเอียดอ่อน

3. สอดคล้องกับมาตรฐานความปลอดภัย

เบราว์เซอร์หลักทั้งหมดกำหนดให้เว็บไซต์ต้องใช้ใบรับรอง SSL ที่ผ่านการตรวจสอบสิทธิ์โดเมน มิฉะนั้นจะถูกทำเครื่องหมายว่าเป็นเว็บไซต์ “ไม่ปลอดภัย” การตรวจสอบโดเมนสะท้อนถึงความสอดคล้องของใบรับรอง SSL

2. วิธีตรวจสอบสิทธิ์โดเมน

มีสามวิธีหลักดังนี้

1. การตรวจสอบด้วยระเบียน DNS

เข้าสู่ระบบแพลตฟอร์มจัดการโดเมน และเพิ่มค่าระเบียนสำหรับการตรวจสอบที่ CA ให้ไว้ใน DNS ของโดเมน (ประเภทโดยทั่วไปคือ TXT, CNAME)

2. การตรวจสอบด้วยไฟล์

สร้างเส้นทางที่กำหนดในไดเรกทอรีรากของเว็บไซต์และวางเนื้อหาที่เกี่ยวข้อง โดยเนื้อหาสำหรับการตรวจสอบเฉพาะจะมาจาก CA

3. การตรวจสอบด้วยอีเมล

CA ส่งอีเมลยืนยันไปยังอีเมลผู้ดูแลระบบที่ลงทะเบียนไว้กับโดเมน (เช่น administrator, webmaster, hostmaster, postmaster@domain) ลูกค้าเข้าสู่ระบบอีเมลเพื่อรับอีเมลยืนยันและคลิกลิงก์เพื่อยืนยัน ก็จะเสร็จสิ้นการตรวจสอบโดเมน

3. ขั้นตอนการตรวจสอบสิทธิ์โดเมนของแบรนด์ใบรับรองต่างๆ

ข้อมูล

• ใบรับรองภายในเครือข่ายหรือใบรับรองแบบลงนามด้วยตนเองไม่จำเป็นต้องตรวจสอบสิทธิ์โดเมน

1. Sectigo/Positive/sslTrus

• การตรวจสอบ DNS: มีระเบียนสองประเภทคือ CNAME และ TXT

• การตรวจสอบไฟล์: รองรับเฉพาะการตรวจสอบพอร์ต 80/443

• การตรวจสอบอีเมล: อีเมล whois (ใช้ไม่ได้หลังวันที่ 15 มิ.ย. 2025) หรืออีเมลผู้ดูแลระบบ

  ข้อมูล

  • สำหรับ sslTrus, Sectigo, Positive หากต้องการเพิ่มระเบียน TXT ต้องติดต่อฝ่ายบริการลูกค้าของ Racent เพื่อขอค่า โดยประเภทการตรวจสอบเริ่มต้นคือ CNAME

2. Digicert/Geotrust/Thawte

• การตรวจสอบ DNS: ประเภทคือ TXT โดยโฮสต์เรคคอร์ดคงที่คือ: _dnsauth
• การตรวจสอบไฟล์: รองรับเฉพาะการตรวจสอบพอร์ต 80/443
• การตรวจสอบอีเมล: อีเมลผู้ดูแลระบบ อีเมล whois (ใช้ไม่ได้หลังวันที่ 8 พ.ค. 2025)

3. CFCA

• การตรวจสอบ DNS: ประเภทคือ TXT
• การตรวจสอบไฟล์: รองรับการตรวจสอบพอร์ต 80/443
• การตรวจสอบอีเมล: อีเมลผู้ดูแลระบบ

หมายเหตุ

• ตั้งแต่วันที่ 15 กรกฎาคม 2025 เป็นต้นไป ไม่สามารถใช้อีเมลที่ได้จากการค้นหาผ่าน WHOIS เพื่อยืนยันสิทธิ์ควบคุมโดเมนโดยตรงได้อีกต่อไป ต้องใช้อีเมลผู้ดูแลระบบในรูปแบบ admin, administrator, webmaster, hostmaster, postmaster@+โดเมนหลัก เพื่อทำการตรวจสอบอีเมล
• ปัจจุบัน CBA กำหนดไว้ในกฎ cp\cps บนเว็บไซต์ทางการของ CFCA ว่าให้ใช้วิธี http หรือ https และพอร์ตต้องเป็นพอร์ตที่ได้รับอนุญาต (คือ 80, 443) โดยเริ่มบังคับใช้วันที่ 1 สิงหาคม 2025

4. Globalsign

• การตรวจสอบ DNS: ประเภทคือ TXT สามารถเว้นโฮสต์เรคคอร์ดว่างได้
• การตรวจสอบไฟล์: รองรับเฉพาะการตรวจสอบพอร์ต 80/443
• การตรวจสอบอีเมล: อีเมลผู้ดูแลระบบ

5. RapidSSL

• ค่าการตรวจสอบ DNS เริ่มต้นเป็นโดเมนย่อย หากต้องการเพิ่มลงในโดเมนหลัก จะต้องสร้างค่าใหม่อีกครั้ง

4. การเพิ่มระเบียน DNS บนแพลตฟอร์มหลักต่างๆ

• โปรดดู: การตั้งค่าการตรวจสอบการ解析 DNS บนแพลตฟอร์มต่าง ๆ

5. การตรวจสอบว่าการ解析มีผล

• โปรดดู: วิธีตรวจสอบว่าระเบียน DNS ถูกตั้งค่าสำเร็จหรือไม่