letsencrypt dns验证如何操作？新手必看的详细步骤指南

Let’s Encrypt DNS 验证机制详解

Let’s Encrypt 作为全球领先的免费证书颁发机构（CA），其自动化证书管理流程深受开发者青睐，DNS 验证（DNS-01）是一种灵活且高效的域名验证方式，尤其适用于无法通过 HTTP 访问的服务器或需要批量签发证书的场景，本文将深入解析 Let’s Encrypt DNS 验证的原理、操作步骤及最佳实践。

DNS 验证的工作原理

Let’s Encrypt 的 DNS 验证要求用户在 DNS 记录中添加特定的 TXT 记录，以证明对域名的控制权，当用户发起证书签发请求时，Let’s Encrypt 会向指定域名发起查询，验证 TXT 记录是否存在且内容匹配，这一过程无需服务器开放 80 或 443 端口，因此非常适合内网服务、负载均衡器或 CI/CD 环境中的证书管理。

准备工作：选择 DNS 提供商

使用 DNS 验证前，需确保 DNS 服务商支持 API 访问或提供手动记录管理功能，主流服务商如 Cloudflare、Route 53、GoDaddy 等均提供完善的 API 支持，可自动化 TXT 记录的添加与删除，若使用不支持 API 的服务商，则需手动配置记录，并在验证完成后及时清理。

手动配置 DNS 验证步骤

1. 生成验证令牌：通过 Certbot 或 ACME 客户端工具（如 acme.sh）生成验证请求，获取 _acme-challenge 子域和对应的 TXT 值。
2. 添加 TXT 记录：登录 DNS 管理后台，为 _acme-challenge.yourdomain.com 添加 TXT 记录，值为步骤中生成的令牌。
3. 等待 DNS 生效：DNS 记录的传播可能需要数分钟至数小时，可通过 dig 或 nslookup 命令验证记录是否生效。
4. 完成验证：在 ACME 客户端中触发验证流程，Let’s Encrypt 会自动查询 TXT 记录并签发证书。

自动化工具的使用建议

为简化操作，推荐使用支持 DNS 验证的 ACME 客户端。acme.sh 通过插件机制支持百余种 DNS 服务商，仅需配置 API 密钥即可自动完成记录管理，以下为 Cloudflare 的示例命令：

acme.sh --issue --dns dns_cf -d example.com -d www.example.com  

此命令会自动添加、验证并删除 TXT 记录，全程无需人工干预。

安全与注意事项

1. API 密钥最小权限：为 DNS 服务商配置的 API 密钥仅授予 DNS-01 必要权限，避免泄露更高权限。
2. 定期更新证书：Let’s Encrypt 证书默认 90 天有效期，可通过脚本或定时任务（如 Cron）实现自动续期。
3. 记录清理：验证完成后及时删除 TXT 记录，避免因长期保留导致的潜在安全风险。

常见问题与解决方案

• DNS 传播延迟：若验证失败，可使用 dig +short txt _acme-challenge.example.com @8.8.8.8 检查记录是否全网生效。
• API 权限不足：确保密钥具备 Edit 或 Zone 级别权限，部分服务商需单独启用 ACME 支持。

FAQs
Q1：DNS 验证与 HTTP 验证有何区别？
A1：HTTP 验证要求服务器开放 80 端口并响应 Let’s Encrypt 的质询请求，适合 Web 服务器；DNS 验证则通过添加 TXT 记录完成，无需暴露服务端口，适用于非 HTTP 服务或无法直接访问的服务器。

Q2：如何处理 DNS 验证失败的问题？
A2：首先检查 TXT 记录是否正确添加且值无误，确认 DNS 已完全传播（可使用在线工具检测），若问题持续，尝试更换 DNS 解析服务商或联系域名注册商排查缓存问题。