Digicert Geotrust SSL证书的域名验证方式

介绍 digicert geotrust rapidssl thawte 等SSL证书申请时,完成域名控制权验证可用的验证方式,包括邮箱验证,文件验证,dns验证,以及各种验证方式的操作方式

为什么要验证域名控制权?


CA必须得确认申请者对域名拥有控制权,否则任何一个人都可以把不属于自己的域名拿去申请SSL证书。

有哪几种域名控制权的验证方式?


三种 ,分别是邮箱验证,文件验证和DNS验证   

1. 邮箱验证


有下面几个邮箱可以作为域名验证邮箱:

Whois邮箱
admin@abc.com
administrator@abc.com
hostmaster@abc.com
webmaster@abc.com
postmaster@abc.com

WHOIS邮箱 即域名联系人邮箱,通常是注册域名时候填写的域名联系人邮箱,如果注册商或者域名所有人隐藏了该邮箱,那么会导致CA查询不到该域名的联系人邮箱,

其他的几个邮箱能够使用的前提是该域名开通了企业邮箱,

除了上面几个邮箱,其他邮箱不能用于验证域名控制权

如果以上邮箱均无法使用,可以采用其他验证方式,
 

2. DNS验证


按要求添加一条指定的DNS记录 ,记录类型是 TXT 

举例,申请证书的域名是 abc.cn

登录证书管理中心,找到该证书订单,看到要添加的DNS记录是  :

域名:abc.cn
记录类型:TXT
记录值:2r23b070mr6zt0s4g6ctj9dlspmkigp

以万网注册的域名为例,您需要登录域名解析控制面板,添加如下的记录 




CA会定时检测该记录,添加记录完成后,通常在1个小时内会完成验证。

 

3. 文件验证


按要求上传指定的验证文件到网站指定的目录下。

如果您选择的是文件验证,请登录证书管理中心,找到该证书订单,下载验证文件,上传到服务器上 ,

举例 : 

验证网址  http://api.sslaaa.com/.well-known/pki-validation/fileauth.txt
文件名:fileauth.txt

请上传该文件到域名的网站目录下的 .well-known 目录下的 pki-validation 目录下

如果网站上没有这样的目录,你需要建立这样的目录结构,让后放入验证文件,确认通过上面的验证网址能够打开这个文件。

提示:.well-known 是以点号开头的目录名称,windows 操作系统可以通过命令   mkdir .well-known 建立该目录 




 

SSL证书域名验证 digicert