EN

术语表

DCV （域名控制权验证）

最后核实

定义

DCV 即域名控制权验证，是 CA 在签发证书前确认申请者确实控制证书中每一个域名的检查。

DCV（Domain Control Validation，域名控制权验证）是签发任何公开信任 TLS 证书前的必经步骤，对 DV 证书来说也是唯一的身份检查。Baseline Requirements 第 3.2.2.4 节列出了允许的方法，主要几类是：在 DNS TXT 记录中放置随机值；在 /.well-known/pki-validation/ 下放置指定文件；完成 ACME 的 HTTP-01、DNS-01 或 TLS-ALPN-01 质询；以及回复发到 admin@、hostmaster@ 等约定邮箱的验证邮件。

为什么重要

DCV 是 Web PKI 的安全基础：一旦被骗过，CA 就会把有效证书签给攻击者。所以规则不断收紧：SC-067 投票要求 MPIC；SC-081v3 投票缩短了验证结果的复用期，2026-03-15 起为 200 天，2027-03-15 起为 100 天，2029-03-15 起只有 10 天。靠人工验证的团队将不得不频繁重复 DCV，自动化已是大势所趋。在阿里云、腾讯云申请证书时看到的“DNS 验证”“文件验证”，就是这里的两种方法；域名解析也托管在同一平台时，控制台通常可以自动添加验证记录。

例子

点击“验证”之前，先确认 CA 要求的内容在公网上可见：

# DNS 验证：检查带随机值的 TXT 记录
dig TXT example.com +short @8.8.8.8

# 文件验证：CA 指定的文件必须能通过普通 HTTP 访问
curl -i http://example.com/.well-known/pki-validation/<file-from-ca>.txt

常见误区

  • DCV 证明了域名归谁所有。 它只证明申请时刻对域名的控制权；OV、EV 证书才会额外核验组织身份。
  • 域名验证一次就永久有效。 复用期有限，并将在 2029-03-15 起缩短到 10 天。
  • 通配符证书可以用文件验证。 基于文件的方法不能用于通配符域名，ACME CA 要求通配符必须用 DNS-01。

延伸阅读