SSL证书DNS验证怎么做？TXT、CNAME记录添加与验证失败排查

更新时间：2026-10-13 来源：TopSSL 作者：TopSSL

本文为阿里云、腾讯云与 DNSPod，新网、中资源等服务商的SSL证书DNS验证指南

SSL证书验证TopSSL您建议尽量使用DNS验证域名，这是一种比较简单的验证方式，只要您有域名管理权限，按照要求添加dns记录后，证书很快就会签发，下面我们以常见的在阿里云、腾讯云、DNSPod注册的域名演示如何添加DNS验证记录，并解释TXT、CNAME记录添加与验证失败排查方法。

SSL证书DNS验证怎么做？

申请 SSL 证书时，如果选择 DNS 验证，CA（证书颁发机构）会要求申请人按照指定内容，在域名的 DNS 解析中添加一条 TXT 或 CNAME 记录。CA 查询到符合要求的记录后，即可确认申请人对相应域名具有控制权。

SSL证书DNS验证的基本流程是：获取验证记录 → 登录 DNS 解析平台添加记录 → 检查记录是否生效 → 返回证书申请平台完成验证。

DNS 验证不要求网站必须已经部署 HTTPS，也不一定要求域名已经指向当前 Web 服务器。只要能够管理相应的 DNS 记录，就可以按照 CA 的要求完成验证。

例如，申请 example.com 的 SSL 证书后，系统可能要求添加一条 TXT 记录，也可能要求添加一条 CNAME 记录。具体记录名称、记录值和类型，以证书申请平台显示的内容为准，不能直接照搬其他域名的示例。

SSL证书DNS验证是什么？为什么要添加解析记录？

SSL 证书签发前，CA 需要确认申请人有权使用证书中包含的域名。DNS 验证就是通过域名解析系统中的特定记录完成这项检查。

申请证书时，平台会生成一组专用验证信息，包括：

记录类型： TXT 或 CNAME。
主机记录： 需要添加记录的名称，例如 _acme-challenge 或一段指定字符。
记录值： CA 或证书申请平台生成的验证内容。
解析域名： 需要验证的域名。

申请人将这些信息添加到域名的 DNS 解析服务后，CA 会查询对应记录，并核对其内容是否符合要求。

为什么不能随便添加一条 TXT 记录？

因为 CA 验证的不是“域名下存在 TXT 记录”，而是指定位置是否存在与本次申请相匹配的验证内容。记录名称、类型或记录值填写错误，都可能导致验证失败。

需要注意，DNS 验证证明的是对域名的控制权，并不等同于企业身份验证。DV 证书通常通过域名控制权验证签发；OV、EV 证书还需要完成相应的组织身份核验。

如果还不清楚不同证书的验证要求，可以参考 DV SSL证书验证与签发介绍。

如何获取DNS解析记录？

无论使用阿里云、腾讯云 DNSPod，还是其他 DNS 服务商，基本操作流程都相同。平台界面可能不同，但需要填写的核心信息一致。

第一步：在证书申请平台获取 DNS 验证记录

进入SSL 证书申请或订单管理页面，找到待验证的域名，选择 DNS 验证方式，查看系统提供的记录信息。

例如，TopSSL 证书平台可能给出以下 TXT或 CNAME记录

dns验证的记录截图g

截图为通过TopSSL获取到的dns验证的记录截图（点击可放大图片）

主机记录：
_acme-challenge

记录值 ：
wEIsxzmTUstEUk3eOihPsEGOszAxh8GgPUOBBgFQl_Q

记录类型：
TXT

记录类型    CNAME**

主机记录   _056c64d63a4a9828a8362dd692cc2746

记录值    bcfe577def2e8e6b1b0a9269c4d79fd5.91340028ee0109000c450cf368a9bd59.a4ycikc69hbiq9t.topssl.cn

以上仅用于说明字段含义，不能直接复制到真实订单中使用。每次申请的验证记录都应以当前订单显示的内容为准。

第二步：登录域名 DNS 解析平台

进入实际负责该域名解析的服务商控制台，找到对应域名的解析管理页面。

需要特别注意：域名注册商不一定就是 DNS 服务商。

例如，域名虽然在某个平台注册，但如果已经将权威 DNS 服务器切换到其他服务商，就应在当前实际生效的 DNS 服务商处添加记录。在原注册商后台添加记录，不一定能被 CA 查询到。

第三步：添加 TXT 或 CNAME 记录

在解析管理页面点击“添加记录”，按照证书申请平台提供的内容填写。

以 TXT 记录为例：

记录类型选择 TXT。
主机记录填写平台提供的名称。
记录值完整复制验证字符串。
TTL 使用平台默认值或服务商允许的值即可。

如果要求添加 CNAME 记录，则应选择 CNAME 类型，并将主机记录和目标值分别填写到对应字段中。

不要把 TXT 记录值填写到 CNAME 记录中，也不要自行修改平台生成的字符。

另外，不同 DNS 平台对主机记录的填写方式可能有所区别。有些平台要求填写相对主机名，有些界面会自动补充域名后缀。提交前应核对最终生成的完整记录名称，避免重复添加域名后缀。

第四步：检查 DNS 记录是否生效

保存记录后，不要只根据控制台显示“添加成功”就判断验证一定可以通过。

建议检查以下信息：

记录类型是否正确。
主机记录是否与订单要求一致。
记录值是否完整，没有多余字符或遗漏。
当前域名使用的权威 DNS 服务是否正确。
从外部 DNS 查询时，是否能够查到预期记录。

如果刚添加记录，外部查询暂时没有结果，可以等待一段时间后再检查。DNS 缓存、解析服务更新以及不同节点的查询结果都可能影响记录的可见时间。

第五步：返回证书平台验证

确认记录已经生效后，返回 TopSSL 订单页面，点击【提交验证】提交验证或重新检查按钮。

返回 TopSSL 订单页面，点击【提交验证】提交验证或重新检查按钮

如果 CA 查询到正确的验证记录，域名控制权验证即可通过。之后还需要根据证书类型完成其他必要审核，才能签发证书。

如果长时间没有通过，不建议反复删除和添加记录。先核对记录内容和权威 DNS，再进行下一步排查。

【阿里云aliyun】添加CNAME验证图示

登录阿里云，找到【域名服务】，

点击左侧的【域名列表】，找到添加DNS记录的域名，

点击该【解析】,在打开的页面点击【添加记录】，右侧会弹出添加记录表单，

选择记录类型 CNAME,复制订单上给出的主机记录和记录值，

粘贴到表单上的主机记录和记录值文本框内，最后提交，

下图所示是阿里云(aliyun)添加CNAME验证截图！

阿里云(aliyun)添加CNAME验证截图

【阿里云aliyun】添加TXT验证图示

登录阿里云，找到【域名服务】，点击左侧的【域名列表】，

找到添加DNS记录的域名，点击该【解析】,在打开的页面点击【添加记录】，右侧会弹出添加记录表单，

选择记录类型 TXT,复制订单上给出的主机记录和记录值，粘贴到表单上的主机记录和记录值文本框内，最后提交，

下图所示是阿里云(aliyun)添加TXT验证添加TXT验证的截图。

阿里云(aliyun)添加TXT验证添加TXT验证的截图

【腾讯云/DNSPOD】添加CNAME验证图示

如果域名使用腾讯云 DNSPod 解析，操作流程与阿里云类似。

登录腾讯云控制台，进入 DNSPod 域名解析管理。
找到待验证的域名。
点击添加记录。
按照订单要求选择 TXT 或 CNAME 类型。
将平台提供的主机记录和记录值复制到对应字段。
保存记录并检查最终记录名称。
确认记录可以从外部 DNS 查询到后，返回证书平台完成验证。

这里最容易出错的是主机记录和记录值填写错误。例如，平台要求的主机记录已经包含特定前缀，但用户又手动添加了一次前缀，最终生成的记录名称就可能与要求不一致。

因此，添加完成后应检查解析平台生成的完整记录名称，而不是只看输入框中的局部内容。

腾讯云/DNSPOD添加CNAME验证的截图

【新网域名】添加CNAME验证方法

登录新网【域名服务】，左侧菜单点击【域名管理】，找到要添加记录的域名，点击进入【解析】，

点击【添加记录】,分别复制订单所给出的主机记录和记录值到对应的文本框内，并选择记录类型为CNAME,点击右侧的【确认】保存。

下图所示是添加新网CNAME验证的截图，供参考！

新网CNAME验证的截图

【中资源域名】添加CNAME验证方法

登录中资源，左侧菜单点击【域名管理】，找到【域名列表】

找到要添加记录的域名，点击【解析】进入，

点击【添加解析】,分别复制订单所给出的主机记录和记录值到对应的文本框内，并选择记录类型为CNAME,点击右侧的【保存】确认。

下图所示是中资源域名添加CNAME验证的截图！

中资源域名添加CNAME验证图示及方法

SSL证书DNS验证失败怎么办？

DNS 验证失败并不一定意味着域名有问题。实际排查时，应先确认 CA 要查询的记录是否存在，再检查记录内容和解析路径。

1. DNS 记录已经添加，为什么仍然验证失败？

常见原因包括：

DNS 记录尚未对外生效。
添加记录的平台不是当前权威 DNS 服务商。
主机记录填写错误。
TXT 记录值复制不完整。
CNAME 指向的目标地址不正确。
记录类型与订单要求不一致。
旧记录或其他同名记录造成冲突。

建议先从外部 DNS 查询记录，确认查询结果与订单要求一致，再返回证书平台重试。

2. TXT 记录查询不到，应该怎么处理？

先检查域名当前使用的权威 DNS 服务器，再确认 TXT 记录是否添加在正确的域名和主机记录下。

如果记录刚添加，可以等待一段时间后重新查询。如果已经等待较长时间仍无法查询到，应检查记录是否保存成功、是否填写了错误的域名后缀，以及 DNS 服务商是否存在特殊的主机记录填写规则。

可以使用命令行查询：

nslookup -type=TXT _acme-challenge.example.com

将 example.com 替换为实际域名，并根据订单要求调整要查询的记录名称。

如果查询结果中没有预期的验证字符串，应先解决 DNS 配置问题，而不是反复点击证书平台的验证按钮。

3. CNAME 记录已经添加，为什么仍然失败？

首先确认 CNAME 记录的主机记录和目标值是否正确。

还应检查该名称是否已经存在与 CNAME 冲突的其他 DNS 记录。按照 DNS 规则，同一个名称不能随意同时配置 CNAME 和其他普通数据记录。

如果目标值填写错误、域名后缀重复，或者添加记录的 DNS 服务并非当前权威 DNS，CA 就可能无法获取预期的验证结果。

4. DNS 验证一直不通过，是否可以改用文件验证？

是否能够切换验证方式，取决于证书产品、CA 的验证规则及当前订单支持的方式。

部分证书申请支持通过 HTTP 文件验证或 DNS 验证等方式完成域名控制权验证；也有产品或特定场景需要使用指定的验证方式。

如果当前订单支持其他方式，可以先确认切换后是否需要重新生成验证信息，再按照平台提示操作。不要在未确认的情况下自行创建验证文件或使用其他订单的记录值。

5. DNS 验证通过后，为什么证书还没有签发？

DNS 验证通过只表示域名控制权验证已经完成，并不代表整个证书签发流程全部结束。

对于 DV 证书，CA 仍需完成适用的签发检查；对于 OV、EV 证书，还需要完成相应的组织身份审核。若存在订单信息不完整、审核待处理或其他签发条件未满足的情况，证书仍可能处于处理中。

如果域名验证已经通过但订单长时间没有进展，应查看订单状态及平台通知，确认是否还存在其他待完成事项。

SSL证书续期是否需要重新进行 DNS 验证？

是否需要重新验证，取决于证书产品、CA 的验证政策、当前订单状态和已有验证信息是否仍然有效。

不能简单认为所有证书续期都不需要 DNS 验证，也不能认为每次续期都必须重新添加记录。

如果使用自动化证书申请或续期工具，应提前确认 DNS API 权限、验证记录创建和清理流程，以及续期失败时的通知机制。

如果域名 DNS 由第三方管理，还应确认续期系统能否自动完成验证，避免因记录无法及时添加而影响证书更新。

DNS 验证与其他 SSL 证书验证方式有什么区别？

DNS 验证只是域名控制权验证的一种方式。不同验证方式的区别主要在于需要申请人提供什么证明，以及对网站和 DNS 管理权限有什么要求。

验证方式	基本操作	适用情况
DNS 验证	添加 TXT 或 CNAME 记录	能够管理域名 DNS，适合不依赖网站文件部署的场景
HTTP 文件验证	按要求在网站指定路径放置验证文件	网站可以通过 HTTP 访问，且能够部署指定文件
邮箱验证	按 CA 支持的流程完成指定邮箱验证	仅适用于 CA 当前允许的邮箱及验证规则

具体产品支持哪些方式，应以证书申请平台和 CA 的实际要求为准。

如果希望了解完整的证书申请流程，可以参考申请 SSL 证书后如何为域名验证。如果需要在证书签发后部署 HTTPS，可以继续阅读 SSL证书安装与部署。