域名控制验证（DCV）方法及选择指南

域名控制验证（DCV）会在颁发SSL/TLS证书前核验域名所有权，保障信任与安全。本文将介绍最常见的DCV方法——邮箱验证、DNS验证、HTTP验证和WHOIS验证，以及如何根据证书类型和安全需求选择合适的验证方式。

什么是域名控制验证？

证书颁发机构（CA）会在颁发SSL/TLS证书前执行域名控制验证，确认证书申请主体有权使用对应域名。该流程可确保证书申请方有权使用SSL/TLS证书为该域名提供安全防护。

DCV是SSL/TLS证书颁发流程中的关键步骤，该流程有助于：

确保证书颁发机构（CA）仅向合法域名所有者颁发数字证书，防范欺诈性证书颁发，构建互联网的信任与安全基础。
核验域名所有权，防止恶意行为者为其不拥有的域名获取SSL/TLS证书。
阻止不法分子仿冒可信网站、诱骗用户输入敏感信息，防范钓鱼攻击和中间人攻击。
通过可靠的加密算法保障数据保密性与完整性，保护浏览器与网站服务器之间传输的信息安全。
通过展示持有SSL/TLS证书的机构对安全的重视，维护线上品牌声誉。

最常见的域名验证方法

最常见的DCV方法

证书颁发机构（CA）会采用多种DCV方法核验域名所有权，为流程增加灵活性，适配不同场景，确保SSL/TLS证书颁发的安全可靠。以下是最常见的几种方法：

基于邮箱的验证

证书颁发机构（CA）会向与创建时所用域名关联的预定义电子邮箱发送一封邮件，用于验证证书签名请求（CSR）。这类邮箱地址通常是通用地址，例如[email protected], [email protected]、[email protected]。证书申请人需要登录对应邮箱账号，按照邮件内的指引完成操作，比如回复验证码，或点击 DCV 邮件中的链接以证明其拥有该域名的控制权。

基于电子邮件的验证方式适用于所有类型的 SSL/TLS 证书，包括域名验证（DV）、组织验证（OV）和扩展验证（EV）类型的证书。采用隐私注册的域名可能需要使用其他域名控制权验证方法。

基于 DNS 的验证

该方法要求证书申请人在域名的 DNS 区域文件中添加一条特定的域名系统（DNS）TXT 记录，记录内容为证书颁发机构（CA）指定的信息。随后，CA 的验证系统会查询 DNS 记录以确认域名控制权。DNS 验证通常适用于 DV 和 OV 证书，一般不用于 EV 证书，但它是验证通配符 TLS 证书.

基于 HTTP 的验证

证书申请人需要将一份包含证书颁发机构（CA）提供的唯一内容的文本文件，上传到 Web 服务器的根目录或 CA 指定的路径下。之后，CA 的验证系统会向对应 URL 发起 HTTP 请求以检查该文件是否存在。基于 HTTP 的验证方式通常不用于通配符 TLS 证书，因为该方法无法充分证明申请人对证书覆盖的所有子域名拥有控制权，可能带来安全风险. 

基于 WHOIS 的验证

申请 SSL/TLS 证书时，申请人需要提供域名相关信息（例如所有者名称和联系方式）。证书颁发机构（CA）会查询 WHOIS 数据库，并将查询到的信息与证书申请中提交的数据进行比对。若信息匹配，CA 即判定验证通过。

该验证方法通常用于 DV 证书，在 OV 证书申请中较少使用，极少用于 EV 证书——EV 证书需要更严格的验证流程。如果你的域名启用了 WHOIS 隐私保护服务，可能无法使用这种 DCV 方法。

如何选择合适的 DCV 方法

在为 SSL/TLS 证书申请选择合适的 DCV 方法时，可参考以下因素：

域名类型。大多数 DCV 方法都适用于单域名 TLS 证书；对于多域名证书，你可以为其中列出的每个域名使用不同的 DCV 方法；通配符证书通常采用基于 DNS 的验证方式。
域名配置情况。如果你可以便捷地修改域名 DNS 记录，基于 DNS 的验证会是非常方便的选择，同时还支持集中管控，验证效率更高。HTTP 验证方式则更受对域名对应的 Web 服务器拥有完整控制权的主体欢迎。
信任等级。基于 DNS 和 HTTP 的验证方式可提供最高等级的可信度与安全性，因为二者都要求申请人对域名记录或 Web 服务器内容拥有控制权，最适配 EV 证书的验证要求。
证书类型。DV 证书可采用基于电子邮件、DNS 或 HTTP 的验证方式；OV 和 EV 证书需要更严格的验证流程，会将其他验证方式与 DCV 结合使用。

此外，请结合自身使用场景选择最合适的DCV方法。对于个人、非商业或常规商业网站，采用基于邮箱或DNS验证的DV证书即可提供充足的安全性。电商网站可能需要OV或EV证书所提供的更高等级的信任与安全保障，这类证书的验证流程更为严格。 