Appearance
验证方式与适用范围
在 CertCloud 订单中选择产品支持的域名验证方式。先看你能管理 DNS、网站还是验证邮箱，再核对待验证域名和订单要求。
验证方式
| 方式 | 如何完成 | 适合的条件与范围 |
|---|---|---|
| DNS 验证（TXT / CNAME） | 在订单指定的名称下添加验证记录 | 有 DNS 管理权限，适用于单域名、多域名及产品支持的通配符证书 |
| 文件验证（HTTP / HTTPS） | 在指定域名的 Web 路径发布验证文件 | 能管理网站或公网入口，按订单逐个验证具体域名 |
| 邮件验证 | 接收 CA 发往订单指定验证邮箱的邮件，并按提示确认 | 订单提供此方式，且能访问对应邮箱；验证项按订单列出的域名处理 |
DNS 验证：按订单确认覆盖范围
订单会提供记录名称、类型和值。按这些信息配置 TXT 或 CNAME，让 CA 通过 DNS 查询确认域名授权或控制。
部分产品支持按基础域名汇总验证项，验证结果可覆盖相应子域名；通配符也可使用产品支持的 DNS 验证。具体覆盖范围由 CA 规则和订单配置确定，按订单实际返回的验证项配置即可。
文件验证：一个域名对应一个验证地址
文件验证的实际动作很简单：CA 按订单给出的 URL 访问网站，读取指定文件的内容。
例如，订单需要验证下面三个域名：
| 订单中的域名 | CA 要访问的地址（例） |
|---|---|
example.com | http://example.com/.well-known/pki-validation/a.txt |
api.example.com | http://api.example.com/.well-known/pki-validation/b.txt |
shop.example.com | https://shop.example.com/.well-known/pki-validation/c.txt |
多域名证书为什么要逐个检查
example.com、api.example.com 和 shop.example.com 是三个不同的主机名。即使它们都指向同一台服务器，Web 服务器也可能根据访问地址把请求分配给不同的网站、虚拟主机或应用。
因此，申请多域名证书时要按订单逐项发布并检查：
- 每个域名都绑定到正确的网站或入口。
- 每个域名的验证 URL 都能从公网访问。
- 每个 URL 都返回订单要求的文件正文。
多个域名可以共用同一台服务器、同一个验证目录，甚至使用相同文件内容；但 CA 必须分别访问每个域名的 URL。在 www.example.com 能读到文件，不会自动完成 api.example.com 的验证。
文件验证不能验证通配符
文件验证针对一个具体主机名的 Web 路径。通配符 *.example.com 覆盖一组子域名，而在 example.com 或某个子域名下发布文件，不能一次证明这组名称都由同一方控制。
申请通配符证书时，应使用订单和产品支持的 DNS 验证方式。
HTTP / HTTPS 访问要求
CA 通过 HTTP 或 HTTPS 访问完整验证 URL，检查返回的文件内容。常见路径位于 /.well-known/pki-validation/ 下，具体路径和文件名使用订单实际值。
公网入口必须使用 HTTP TCP 80 或 HTTPS TCP 443。后端使用 8080 等其他端口时，由前置入口接收并转发；对外验证地址保持订单要求的协议和端口。
需要搭建临时文件服务时，可参考使用 Python 搭建文件验证服务。