了解持续性 DCV 与 DNS 连接器：实现大规模场景下的域名验证简化

行业转型正在加速

TLS 行业正经历近年来最重大的运营变革之一。CA/Browser Forum 的强制要求正在压缩证书有效期，同时收紧域名控制验证（DCV）的复用窗口期。对于大规模管理证书的组织机构而言，这是近期需要重点关注的问题。

向47天证书生命周期的转型将从根本上改变团队对证书续期和验证的认知。过去每年一次的任务，将转变为持续性的运营工作流。随着这些规则生效，依赖手动 DNS 更新和临时续期流程的组织机构将面临越来越大的压力。

不同主体承受的压力并不均衡。管理大量证书资产、复杂 SAN 证书和通配符域名的企业会最先感受到影响。但全行业的运营现状已经明确：手动证书管理无法适配更短证书有效期带来的规模化需求。

Sectigo 正帮助客户提前应对这一挑战。通过在 Sectigo Certificate Manager（SCM）中支持持续性 DCV，再加上大幅扩展的 DNS 连接器集成范围，团队可以在相关变更成为强制要求之前，着手搭建所需的自动化就绪工作流。

有哪些变化？了解新的时间线要求

CA/Browser Forum 已经明确了发展方向：DCV 证据的过期频率将提高，证书需要以更短的周期进行续期。对于当前依赖配合年度续期的偶尔 DNS 更新的团队而言，这种运营层面的工作量已经无法通过原有方式承载。

累积效应在于：目前手动处理续期的团队，将需要以5到8倍的频率完成相同的工作。DNS 协调、变更管理审批、每次续期对应的验证工作会快速堆积，既造成运营负担，也会带来真实的服务中断风险。

什么是持续性 DCV？

Persistent DCV 是一种基于 DNS 的域名验证新方法，无需在每个续期周期重复创建和更新 DNS TXT 记录。机构无需在每次验证时部署临时记录，只需一次性发布一条永久有效的 TXT 记录。证书颁发机构（CA）会自动基于该记录执行周期性验证检查，无需后续人工介入 DNS 操作。两种方式的分步差异如下：

传统 DCV：

1. 在您的环境中安装 DNS 连接器
2. 申请证书
3. 添加临时 TXT 记录
4. 执行验证
5. 删除/更新记录
6. 100 天或 47 天后重复全部流程

Persistent DCV：

1. 一次性发布永久 TXT 记录
2. 证书颁发机构（CA）自动执行周期性验证检查
3. 无需重复修改 DNS 即可持续续期证书

CA/Browser Forum 推出 Persistent DCV 的背景

永久 DNS TXT 验证方式是通过 CA/Browser Forum 的 SC088 投票引入的，该投票由 Sectigo 发起。这项提案源于客户的直接反馈：随着证书续期频率上升，重复执行 DCV 更新带来的运营负担已让企业团队难以承受。

Sectigo 发起 SC088 投票，体现了其在制定标准时兼顾强安全保障与运营实用性的长期承诺。Persistent DCV 并未降低域名所有权验证的严格程度，只是调整了验证的执行时机与方式——从事件触发的单次检查，转为持续的自动化验证。

CA/Browser Forum 认识到，证书有效期不断缩短，需要可扩展的自动化模型作为支撑。Persistent DCV 正是行业在验证层面对这一需求给出的解决方案。

Persistent DCV 对企业团队的价值

企业场景有其特殊性。大型组织管理的不是少量证书，而是数千张证书，这些证书往往分布在不同团队负责的环境中，使用不同的 DNS 服务商，且所有更新都受变更管理政策约束，需要提前走审批流程。

当前团队普遍面临的挑战包括：

• 跨多环境的大规模证书资产
• 聚合了多个域名、需要协同完成验证的 SAN 证书
• 证书有效期缩短背景下，通配符证书的管理复杂度提升、审核要求更严格
• DNS 所有权分属基础设施、网络、平台等多个团队
• 变更管理流程导致 DNS 更新需要数天甚至数周的前置时间
• 续期完成前 DCV 记录过期带来的业务中断风险

Persistent DCV 可直接解决上述所有痛点：

• 降低运营开销： 免除已验证域名的周期性 DNS 更新流程
• 降低业务中断风险： 消除因 DCV 记录过期导致续期失败的故障场景
• 更出色的可扩展性： 支持大规模证书自动化，无需产生同比例增长的DNS操作工作量
• 更强的自动化适配能力： 让域名验证与47天及更短证书有效期周期相匹配
• 简化合规工作： 让持续验证就绪状态更易维护和证明

Sectigo的方案：SCM中的持久化DCV与DNS连接器

Sectigo Certificate Manager现已同时支持用于持续DCV自动化的持久化DNS TXT记录，以及大幅扩展的DNS连接器集成库。这两项能力共同解决了DNS验证挑战的两个核心层面：所使用的验证方法，以及DNS变更的执行方式。

SCM中的持久化DCV

SCM对持久化DCV的支持可帮助团队：

• 发布持久化TXT记录 针对受管域名
• 启用自动化重复验证 无需进行额外DNS变更
• 降低依赖 减少续期时的人工DNS协调工作
• 对齐验证工作流 让验证工作流与更短证书生命周期的运营要求相匹配

这是Sectigo更广泛的可扩展DCV方案的组成部分：将域名验证视为一套协同的自动化系统，而非每次续期时需要完成的一次性任务。

扩展的DNS连接器支持

对于仍需执行DNS变更的场景（包括持久化记录的初始配置或新域名管理），SCM的DNS连接器可直接从平台自动执行这些变更操作。

SCM中的DNS连接器可直接对接您的DNS服务商，代表SCM自动创建并验证DNS TXT记录挑战。该连接器以程序化方式处理DNS交互，无需证书团队与DNS管理员进行人工协调，消除了人工介入环节及由此产生的延迟。

Sectigo持续扩展DNS连接器支持以覆盖各类服务商，最新的支持范围列于此处.

这种广泛的覆盖范围是经过针对性设计的，可适配不同组织的DNS基础设施部署位置——无论是主流云服务商、专业企业DNS平台还是自托管环境。LEGO集成层进一步拓展了覆盖范围，通过单一连接器架构，让SCM的DNS自动化能力可支持超过100家DNS服务商。

两项能力的协同工作方式

持久化DCV与DNS连接器是互补关系，而非可互相替代的。持久化DCV可降低续期周期内对DNS变更的依赖；DNS连接器则可自动完成仍有必要执行的DNS变更，包括发布初始持久化记录。二者共同为团队提供了两种减少人工DNS操作的途径：

• 在可使用持久化记录的场景下 ，在可使用持久化记录的场景下，续期阶段的DNS人工操作可完全消除
• 仍需进行DNS变更的场景 ，连接器可自动执行相关操作，无需人工协调

最终效果是，随着证书数量和续期频率提升，该验证工作流可实现顺畅扩展。

客户当前应采取的行动

准备窗口期已经开启，但正在不断收窄。从现在就启动迁移的组织，在强制执行时限到来时将处于更有利的位置。建议采取以下步骤：

• 梳理您的证书资产： 排查2026年3月15日之后到期的公共TLS证书，评估哪些域名适合采用持久DCV。
• 核查现有DCV记录： 排查即将达到复用有效期的固定或过期DCV记录，避免出现续期失败。
• 优先处理SAN和通配符域名： 这类域名的协调成本最高，在时限压缩的情况下对运营影响最大。
• 发布持久TXT记录： 在续期频率大幅提升、需要大规模应用持久DCV之前，现在就将已稳定运行的域名迁移至持久DCV。
• 全面落地自动化： 使用SCM的自动周期性验证工作流和生命周期自动化能力，减少整个证书资产范围内的人工操作。

未来展望：为47天有效期证书做好准备

向47天证书生命周期的过渡，需要一套完全不同的运营模式。能够平稳完成这一过渡的组织，是那些已经搭建好支撑该模式的自动化基础设施的组织，而非时限到来时才仓促补救的组织。

持久DCV是朝着这一方向迈出的关键一步。它消除了续期流程中大量的人工操作环节，降低了一类常见的业务中断风险，还能让域名验证适配更短生命周期所要求的运营节奏。结合SCM扩展后的DNS连接器库，该功能为团队提供了一条实现证书工作流最后一公里自动化的务实路径。

在机器节奏的续期频率下，人工证书管理并非可行的长期策略。从现在就投入建设自动化、可重复的验证基础设施的组织，将能更好地应对即将到来的运营现实。

开始使用

目前Sectigo Certificate Manager已支持持久DCV与DNS连接器功能。如需了解更多信息或启动迁移：

• 联系您的Sectigo代表，沟通您的证书资产情况与就绪评估相关事宜
• 在SCM中探索持久DCV配置，确定优先迁移的域名
• 在SCM的Integrations > DNS Connectors路径下查看可用的DNS连接器，找到适配您环境的集成方案
• 在更短生命周期的强制要求生效前，安排一次就绪评估，制定分优先级的自动化路线图

持久DCV可帮助组织简化域名验证流程，同时为行业向大幅缩短的证书生命周期过渡做好准备。通过减少重复性DNS更新并实现持续验证就绪，Sectigo Certificate Manager可帮助企业在相关变更成为强制要求前完成证书运营的现代化升级。