域名控制驗證（DCV）方法及選擇指南

域名控制驗證（DCV）會在頒發SSL/TLS證書前核實域名擁有權，保障信任與安全。本文將介紹最常見的DCV方法——電郵驗證、DNS驗證、HTTP驗證和WHOIS驗證，以及如何根據證書類型和安全需求選擇合適的驗證方式。

甚麼是域名控制驗證？

證書頒發機構（CA）會在頒發SSL/TLS證書前執行域名控制驗證，確認證書申請主體有權使用對應域名。該流程可確保證書申請方有權使用SSL/TLS證書為該域名提供安全防護。

DCV是SSL/TLS證書頒發流程中的關鍵步驟，該流程有助於：

確保證書頒發機構（CA）僅向合法域名擁有者頒發數碼證書，防範欺詐性證書頒發，構建互聯網的信任與安全基礎。
核實域名擁有權，防止惡意行為者為其不擁有的域名獲取SSL/TLS證書。
阻止不法分子仿冒可信網站、誘騙用戶輸入敏感資料，防範釣魚攻擊和中間人攻擊。
通過可靠的加密算法保障資料保密性與完整性，保護瀏覽器與網站伺服器之間傳輸的信息安全。
通過展示持有SSL/TLS證書的機構對安全的重視，維護線上品牌聲譽。

最常見的域名驗證方法

最常見的DCV方法

證書頒發機構（CA）會採用多種DCV方法核實域名擁有權，為流程增加靈活性，配對不同場景，確保SSL/TLS證書頒發的安全可靠。以下是最常見的幾種方法：

基於電郵的驗證

證書頒發機構（CA）會向與建立時所用域名關聯的預設電郵地址發送一封電郵，用於驗證證書簽署請求（CSR）。這類電郵地址通常是通用地址，例如[email protected], [email protected]、[email protected]。證書申請人需要登入對應電郵帳戶，按照電郵內的指引完成操作，例如回覆驗證碼，或點擊 DCV 電郵中的連結以證明其擁有該域名的控制權。

基於電郵的驗證方式適用於所有類型的 SSL/TLS 證書，包括域名驗證（DV）、組織驗證（OV）和擴展驗證（EV）類型的證書。採用私隱註冊的域名可能需要使用其他域名控制權驗證方法。

基於 DNS 的驗證

該方法要求證書申請人在域名的 DNS 區域檔案中新增一條特定的域名系統（DNS）TXT 記錄，記錄內容為證書頒發機構（CA）指定的資訊。隨後，CA 的驗證系統會查詢 DNS 記錄以確認域名控制權。DNS 驗證通常適用於 DV 和 OV 證書，一般不用於 EV 證書，但它是驗證通配符 TLS 證書.

基於 HTTP 的驗證

證書申請人需要將一份包含證書頒發機構（CA）提供的唯一內容的文字檔案，上傳到 Web 伺服器的根目錄或 CA 指定的路徑下。之後，CA 的驗證系統會向對應 URL 發起 HTTP 請求以檢查該檔案是否存在。基於 HTTP 的驗證方式通常不用於通配符 TLS 證書，因為該方法無法充分證明申請人對證書覆蓋的所有子域名擁有控制權，可能帶來安全風險. 

基於 WHOIS 的驗證

申請 SSL/TLS 證書時，申請人需要提供域名相關資訊（例如擁有者名稱和聯絡方式）。證書頒發機構（CA）會查詢 WHOIS 數據庫，並將查詢到的資訊與證書申請中提交的數據進行比對。若資訊匹配，CA 即判定驗證通過。

該驗證方法通常用於 DV 證書，在 OV 證書申請中較少使用，極少用於 EV 證書——EV 證書需要更嚴格的驗證流程。如果你的域名啟用了 WHOIS 私隱保護服務，可能無法使用這種 DCV 方法。

如何選擇合適的 DCV 方法

在為 SSL/TLS 證書申請選擇合適的 DCV 方法時，可參考以下因素：

域名類型。大多數 DCV 方法都適用於單域名 TLS 證書；對於多域名證書，你可以為其中列出的每個域名使用不同的 DCV 方法；通配符證書通常採用基於 DNS 的驗證方式。
域名配置情況。如果你可以便捷地修改域名 DNS 記錄，基於 DNS 的驗證會是非常方便的選擇，同時還支援集中管控，驗證效率更高。HTTP 驗證方式則更受對域名對應的 Web 伺服器擁有完整控制權的主體歡迎。
信任等級。基於 DNS 和 HTTP 的驗證方式可提供最高等級的可信度與安全性，因為二者都要求申請人對域名記錄或 Web 伺服器內容擁有控制權，最適配 EV 證書的驗證要求。
證書類型。DV 證書可採用基於電郵、DNS 或 HTTP 的驗證方式；OV 和 EV 證書需要更嚴格的驗證流程，會將其他驗證方式與 DCV 結合使用。

此外，請按自身使用場景選擇最合適的DCV方法。對於個人、非商業或一般商業網站，採用電郵或DNS驗證的DV證書已能提供充足的安全性。電商網站或許需要OV或EV證書提供更高等級的信任與安全保障，這類證書的驗證流程更為嚴格。 