# DCV（域名控制权验证）是什么？定义、例子与常见误区

> DCV 即域名控制权验证，是 CA 在签发证书前确认申请者确实控制证书中每一个域名的检查。

Source: https://ssl.sh/zh/glossary/dcv/
Last updated: 2026-11-10

DCV（Domain Control Validation，域名控制权验证）是签发任何公开信任 TLS 证书前的必经步骤，对 [DV 证书](https://ssl.sh/zh/glossary/dv-certificate/)来说也是唯一的身份检查。Baseline Requirements 第 3.2.2.4 节列出了允许的方法，主要几类是：在 DNS TXT 记录中放置随机值；在 /.well-known/pki-validation/ 下放置指定文件；完成 [ACME](https://ssl.sh/zh/glossary/acme/) 的 HTTP-01、DNS-01 或 TLS-ALPN-01 质询；以及回复发到 admin@、hostmaster@ 等约定邮箱的验证邮件。

## 为什么重要
DCV 是 Web PKI 的安全基础：一旦被骗过，CA 就会把有效证书签给攻击者。所以规则不断收紧：SC-067 投票要求 [MPIC](https://ssl.sh/zh/glossary/mpic/)；SC-081v3 投票缩短了验证结果的复用期，2026-03-15 起为 200 天，2027-03-15 起为 100 天，2029-03-15 起只有 10 天。靠人工验证的团队将不得不频繁重复 DCV，自动化已是大势所趋。在阿里云、腾讯云申请证书时看到的“DNS 验证”“文件验证”，就是这里的两种方法；域名解析也托管在同一平台时，控制台通常可以自动添加验证记录。

## 例子
点击“验证”之前，先确认 CA 要求的内容在公网上可见：

```bash
# DNS 验证：检查带随机值的 TXT 记录
dig TXT example.com +short @8.8.8.8

# 文件验证：CA 指定的文件必须能通过普通 HTTP 访问
curl -i http://example.com/.well-known/pki-validation/<file-from-ca>.txt
```

## 常见误区
- **DCV 证明了域名归谁所有。** 它只证明申请时刻对域名的控制权；OV、EV 证书才会额外核验组织身份。
- **域名验证一次就永久有效。** 复用期有限，并将在 2029-03-15 起缩短到 10 天。
- **通配符证书可以用文件验证。** 基于文件的方法不能用于通配符域名，ACME CA 要求通配符必须用 DNS-01。

## 相关术语

- [ACME](https://ssl.sh/zh/glossary/acme/): ACME 是 IETF 标准协议（RFC 8555），让软件自动向 CA 证明域名控制权，并自动申请、续期和吊销证书。
- [HTTP-01](https://ssl.sh/zh/glossary/http-01/): HTTP-01 是一种 ACME 验证方式，客户端通过 80 端口以普通 HTTP 提供 CA 指定的令牌内容来证明域名控制权。
- [DNS-01](https://ssl.sh/zh/glossary/dns-01/): DNS-01 是一种 ACME 验证方式，客户端在 _acme-challenge 子域名下发布由 CA 质询计算出的 TXT 记录来证明域名控制权。
- [TLS-ALPN-01](https://ssl.sh/zh/glossary/tls-alpn-01/): TLS-ALPN-01 是一种 ACME 验证方式，服务器在 443 端口针对 acme-tls/1 协议出示一张特殊证书来证明域名控制权。
- [MPIC](https://ssl.sh/zh/glossary/mpic/): MPIC 是要求 CA 从多个网络位置重复进行域名验证和 CAA 检查、只有足够多位置结果一致才签发证书的规则。
- [CAA 记录](https://ssl.sh/zh/glossary/caa/): CAA 记录是一种 DNS 记录，用来声明哪些证书颁发机构可以为该域名签发证书，所有公共 CA 签发前都必须检查。
- [DV 证书](https://ssl.sh/zh/glossary/dv-certificate/): DV 证书是 CA 只验证申请者对域名的控制权、不核实申请者身份的 TLS 证书，签发快且可以完全自动化。
- [Baseline Requirements](https://ssl.sh/zh/glossary/baseline-requirements/): Baseline Requirements 是 CA/B 论坛制定的基线要求，规定公开信任的 CA 在验证、签发和吊销 TLS 服务器证书时必须遵守的规则。