了解持續性 DCV 與 DNS 連接器：簡化大規模場景下的域名驗證

行業轉型正在加速

TLS 行業正經歷近年來最重大的營運變革之一。CA/Browser Forum 的強制要求正在壓縮數碼證書有效期，同時收緊域名控制驗證（DCV）的復用窗口期。對於大規模管理數碼證書的機構而言，這是近期需要重點關注的問題。

邁向47天證書生命週期的轉型將從根本上改變團隊對數碼證書續期及驗證的觀念。過往每年一次的工作，將轉變為持續性的營運工作流。隨著這些規則生效，依賴手動 DNS 更新及臨時續期流程的機構將面對越來越大的壓力。

不同主體承受的壓力並不平均。管理大量證書資產、複雜 SAN 證書及通配符域名的企業會最先感受到影響。但全行業的營運現狀已經明確：手動數碼證書管理無法適應更短證書有效期帶來的規模化需求。

Sectigo 正協助客戶提前應對這項挑戰。透過在 Sectigo Certificate Manager（SCM）中支援持續性 DCV，再加上大幅擴展的 DNS 連接器整合範圍，團隊可以在相關變動成為強制要求前，着手搭建所需的自動化就緒工作流。

有哪些變動？了解新的時間線要求

CA/Browser Forum 已經明確發展方向：DCV 證據的過期頻率將提高，數碼證書需要以更短的周期進行續期。對於現時依賴配合年度續期、偶爾進行 DNS 更新的團隊而言，這種營運層面的工作量已經無法透過原有方式承載。

累積效應在於：現時以手動方式處理續期的團隊，將需要以5到8倍的頻率完成相同工作。DNS 協調、變更管理審批、每次續期對應的驗證工作會快速堆積，既造成營運負擔，亦會帶來實際的服務中斷風險。

甚麼是持續性 DCV？

Persistent DCV 是一種以 DNS 為基礎的域名驗證新方法，無需在每個續期週期重複建立及更新 DNS TXT 記錄。機構毋須在每次驗證時部署臨時記錄，只需一次性發布一條永久有效的 TXT 記錄。證書頒發機構（CA）會自動根據該記錄執行週期性驗證檢查，後續無需人手介入 DNS 操作。兩種方式的步驟差異如下：

傳統 DCV：

1. 在您的環境中安裝 DNS 連接器
2. 申請證書
3. 新增臨時 TXT 記錄
4. 執行驗證
5. 刪除/更新記錄
6. 100 天或 47 天後重複整個流程

Persistent DCV：

1. 一次性發布永久 TXT 記錄
2. 證書頒發機構（CA）自動執行週期性驗證檢查
3. 毋須重複修改 DNS 即可持續續期證書

CA/Browser Forum 推出 Persistent DCV 的背景

永久 DNS TXT 驗證方式是透過 CA/Browser Forum 的 SC088 投票引入，該投票由 Sectigo 發起。這項提案源於客戶的直接回饋：隨著證書續期頻率上升，重複執行 DCV 更新帶來的營運負擔已令企業團隊難以承受。

Sectigo 發起 SC088 投票，體現其在制訂標準時兼顧嚴格安全保障與營運實用性的長期承諾。Persistent DCV 並無降低域名所有權驗證的嚴格程度，只是調整了驗證的執行時機與方式——由事件觸發的單次檢查，改為持續的自動化驗證。

CA/Browser Forum 明白，證書有效期不斷縮短，需要可擴展的自動化模型作為支援。Persistent DCV 正是業界在驗證層面回應這項需求的解決方案。

Persistent DCV 對企業團隊的價值

企業場景有其特殊性。大型機構管理的並非少量證書，而是數以千計的證書，這些證書往往分布在不同團隊負責的環境中，使用不同的 DNS 服務供應商，而且所有更新均受變更管理政策約束，需要預先走審批流程。

現時團隊普遍面對的挑戰包括：

• 跨多個環境的大規模證書資產
• 整合多個域名、需要協同完成驗證的 SAN 證書
• 在證書有效期縮短的背景下，通配符證書的管理複雜度上升、審核要求更嚴格
• DNS 所有權分屬基礎設施、網絡、平台等多個團隊
• 變更管理流程導致 DNS 更新需要數天甚至數星期的前置時間
• 續期完成前 DCV 記錄過期帶來的業務中斷風險

Persistent DCV 可直接解決上述所有痛點：

• 降低營運開支： 免除已驗證域名的週期性 DNS 更新流程
• 降低業務中斷風險： 消除因 DCV 記錄過期導致續期失敗的故障場景
• 更出色的可擴展性： 支援大規模數碼證書自動化，不會帶來同比例增長的DNS操作工作量
• 更強的自動化適配能力： 讓域名驗證與47天或更短的數碼證書有效期周期互相匹配
• 簡化合規工作： 讓持續驗證就緒狀態更易於維護及證明

Sectigo的方案：SCM中的持久化DCV與DNS連接器

Sectigo Certificate Manager現已同時支援用於持續DCV自動化的持久化DNS TXT記錄，以及大幅擴展的DNS連接器集成庫。這兩項功能共同解決DNS驗證挑戰的兩個核心層面：所使用的驗證方法，以及DNS變更的執行方式。

SCM中的持久化DCV

SCM對持久化DCV的支援可協助團隊：

• 發布持久化TXT記錄 針對受管域名
• 啟用自動化重複驗證 無需進行額外DNS變更
• 降低依賴 減少續期時的人工DNS協調工作
• 對齊驗證工作流 讓驗證工作流與更短數碼證書生命週期的營運要求互相匹配

這是Sectigo更廣泛的可擴展DCV方案的組成部分：將域名驗證視為一套協同運作的自動化系統，而非每次續期時需要完成的一次性任務。

擴展的DNS連接器支援

對於仍需執行DNS變更的場景（包括持久化記錄的初始配置或新域名管理），SCM的DNS連接器可直接從平台自動執行這些變更操作。

SCM中的DNS連接器可直接對接您的DNS服務商，代表SCM自動建立並驗證DNS TXT記錄挑戰。該連接器以程序化方式處理DNS交互，無需數碼證書團隊與DNS管理員進行人工協調，消除人工介入環節及由此產生的延遲。

Sectigo持續擴展DNS連接器支援以覆蓋各類服務商，最新的支援範圍列於此處.

這種廣泛的覆蓋範圍經過針對性設計，可適配不同機構的DNS基礎設施部署位置——無論是主流雲服務商、專業企業DNS平台還是自託管環境。LEGO集成層進一步拓展了覆蓋範圍，透過單一連接器架構，讓SCM的DNS自動化能力可支援超過100家DNS服務商。

兩項功能的協同運作方式

持久化DCV與DNS連接器屬互補關係，而非可互相替代。持久化DCV可降低續期周期內對DNS變更的依賴；DNS連接器則可自動完成仍有必要執行的DNS變更，包括發布初始持久化記錄。二者共同為團隊提供兩種減少人工DNS操作的途徑：

• 在可使用持久化記錄的場景下 ，在可使用持久化記錄的場景下，續期階段的DNS人工操作可完全消除
• 仍需進行DNS變更的場景 ，連接器可自動執行相關操作，無需人手協調

最終效果是，隨着證書數量和續期頻率提升，該驗證工作流可實現順暢擴展。

客戶當前應採取的行動

準備窗口期已經開啟，但正在不斷收窄。從現在就啟動遷移的機構，在強制執行時限到來時將處於更有利的位置。建議採取以下步驟：

• 梳理您的證書資產： 排查2026年3月15日之後到期的公共TLS證書，評估哪些域名適合採用持久DCV。
• 核查現有DCV記錄： 排查即將達到重用有效期的固定或過期DCV記錄，避免出現續期失敗。
• 優先處理SAN和通配符域名： 這類域名的協調成本最高，在時限壓縮的情況下對營運影響最大。
• 發布持久TXT記錄： 在續期頻率大幅提升、需要大規模應用持久DCV之前，現在就將已穩定運行的域名遷移至持久DCV。
• 全面落地自動化： 使用SCM的自動周期性驗證工作流和生命週期自動化能力，減少整個證書資產範圍內的人手操作。

未來展望：為47天有效期證書做好準備

向47天證書生命週期的過渡，需要一套完全不同的營運模式。能夠平穩完成這一過渡的機構，是那些已經搭建好支撐該模式的自動化基礎設施的機構，而非時限到來時才倉促補救的機構。

持久DCV是朝着這一方向邁出的關鍵一步。它消除了續期流程中大量的人手操作環節，降低了一類常見的業務中斷風險，還能讓域名驗證適配更短生命週期所要求的營運節奏。結合SCM擴展後的DNS連接器庫，該功能為團隊提供了一條實現證書工作流最後一公里自動化的務實路徑。

在機器節奏的續期頻率下，人工證書管理並非可行的長期策略。從現在就投入建設自動化、可重複的驗證基礎設施的機構，將能更好地應對即將到來的營運現實。

開始使用

目前Sectigo Certificate Manager已支援持久DCV與DNS連接器功能。如需了解更多資訊或啟動遷移：

• 聯絡您的Sectigo代表，溝通您的證書資產情況與就緒評估相關事宜
• 在SCM中探索持久DCV配置，確定優先遷移的域名
• 在SCM的Integrations > DNS Connectors路徑下查看可用的DNS連接器，找到適配您環境的集成方案
• 在更短生命週期的強制要求生效前，安排一次就緒評估，制定分優先級的自動化路線圖

持久DCV可幫助機構簡化域名驗證流程，同時為行業向大幅縮短的證書生命週期過渡做好準備。通過減少重複性DNS更新並實現持續驗證就緒，Sectigo Certificate Manager可幫助企業在相關變更成為強制要求前完成證書營運的現代化升級。