網域驗證說明
網域驗證（Domain Verification）是 SSL 憑證申請的核心環節，透過 DNS 記錄、檔案上傳或信箱驗證確認網域控制權，其核心目的是防止未經授權的使用，確保只有合法的網域擁有者才能申請憑證。
一. 為什麼要做網域驗證
網域驗證是 SSL 憑證簽發過程中的必要流程之一，主要原因如下：
1. 驗證網域管理權
透過對網域新增解析或者檔案驗證/信箱驗證等方式來獲得 CA 機構對申請者網域管理權限的認可，驗證申請者對網域的控制權，防止第三方惡意冒用他人取得憑證
2. 防止釣魚攻擊
網域驗證流程能有效阻止攻擊者偽造合法網域建立釣魚網站，保護使用者免受敏感資訊外洩風險
3. 符合安全標準
主流瀏覽器均要求網站必須使用經過網域驗證的 SSL 憑證，否則會被標記為「不安全」網站，驗證網域體現了 SSL 憑證的合規性。
二．怎樣做網域驗證
主要有以下三種方式
1. DNS 解析記錄驗證
登入網域管理平台，在網域的 DNS 解析中新增 CA 提供的驗證記錄值（類型一般為 TXT、CNAME）
2. 檔案驗證
在網站根目錄建立指定路徑並放置相應內容，具體驗證內容由 CA 提供
3. 信箱驗證
CA 向網域註冊時預留的管理員信箱（如 administrator、webmaster、hostmaster、postmaste@domain）發送驗證郵件，客戶登入信箱查收驗證郵件並點擊連結進行確認即可完成網域驗證
三．各大憑證品牌的網域驗證操作
資訊
- 內網或者自簽名憑證不需要完成網域驗證
1. Sectigo/Positive/sslTrus
-
DNS 解析：記錄類型有 CNAME 和 TXT 兩種
-
檔案驗證：僅支援
80/443連接埠驗證 -
信箱驗證：whois 信箱（2025.6.15 後不可用）或者管理員信箱
資訊- sslTrus、 Sectigo、 Positive 要新增 TXT 記錄需要找 Racent 客服提供，預設解析類型為
CNAME
- sslTrus、 Sectigo、 Positive 要新增 TXT 記錄需要找 Racent 客服提供，預設解析類型為
2. Digicert/Geotrust/Thawte
- DNS 解析：類型為 TXT，主機記錄固定為：
_dnsauth - 檔案驗證：僅支援
80/443連接埠驗證 - 信箱驗證：管理員信箱，whois 信箱（2025.5.8 之後不可用）
3. CFCA
- DNS 解析：類型為 TXT
- 檔案驗證：支援
80/443連接埠驗證 - 信箱驗證：管理員信箱
備註
- 自 2025 年 7 月 15 日起，不能使用透過 WHOIS 查詢到的信箱直接進行網域控制權驗證，需要使用 admin、administrator、webmaster、hostmaster、postmaster@+主網域，這種形式的管理員信箱做信箱驗證
- 目前 CBA 要求的，CFCA 官網的 cp\cps 規則中說明，採用 http 或者 https 方式，且連接埠必須是授權連接埠（即 80、443），2025 年 8 月 1 號開始實行
4. Globalsign
- DNS 解析：類型為 TXT，主機記錄可不填寫
- 檔案驗證：僅支援
80/443連接埠驗證 - 信箱驗證：管理員信箱
5. RapidSSL
- DNS 解析值預設是子網域，如果想要加在主網域上，解析值需要重新產生。
四．幾大平台新增 DNS 解析
- 請參考：不同平台的 DNS 解析驗證設定