文档中心

Appearance

  • MPIC
  • 域名验证
  • DNS
  • HTTP
  • 防火墙

MPIC 多视角域名验证排障 ​

验证记录或文件配置后仍未通过，请先检查内容是否正确，以及海外网络能否访问。

MPIC 由全球多个网络节点按 CA 的规则检查验证内容。 政企、高校等限制国际访问的业务，请重点检查海外访问策略。

检查验证内容与访问情况

请对照订单中的当前验证值，检查 DNS 记录或验证文件正文，并对比各地区访问结果。文件验证应返回订单要求的内容，DNS 验证应使用订单指定的名称、类型和值；CAA 授权可同步检查。若发现旧验证值或登录页面，更新对应记录、文件或访问配置后再复测。

文件验证：浏览器或 curl 检查 ​

用浏览器打开订单提供的完整验证 URL，或执行：

sh
curl -i 'http://example.com/.well-known/pki-validation/验证文件名.txt'

替换为实际地址，确认返回 200、正文与订单要求一致，不需要登录，也没有验证码或拦截页面。CDN、多台服务器应返回相同内容。

建议按订单要求保存为纯文本，避免编辑器引入 BOM、额外空格或换行。末尾换行等格式差异是否可接受，以实际 CA 的比较规则为准。

文件验证访问路径 ​

以下为典型路径，未使用的设备可跳过；设备顺序以实际网络为准。箭头表示请求方向，验证结果沿连接返回。

检查位置重点确认
CDN / WAF海外访问是否被限制；验证路径是否触发验证码、登录、JS 挑战或旧缓存
源站防火墙 / 安全组端口是否放行；使用代理时，是否允许 CDN/WAF 的回源来源
负载均衡 / Web 服务请求是否到达正确站点；各后端是否返回相同验证文件

两层放行对象要分清： CDN/WAF 入口接收 CA 验证请求；采用代理回源时，源站防火墙看到的通常是 CDN/WAF 回源节点 IP，而非 CA 节点 IP。直接访问源站时，再按实际 CA 来源检查。

HTTP 使用 TCP 80，HTTPS 使用 TCP 443，按订单提供的验证 URL 和 CA 支持的方式配置。逐层查看同一时段的访问与拦截日志，定位请求在哪一层被拒绝或返回了错误内容。

内网正常，但公网仍失败 ​

用手机移动数据或另一条外部网络访问订单给出的完整 URL，对比状态码、正文及跳转位置。分别记录内网与公网结果，帮助定位访问差异；最终验证状态以订单中的 CA 检查结果为准。

若返回 301/302，先检查响应头中的 Location，确认是否跳到登录页、运营商拦截页或其他无关地址。页面显示备案、反诈或端口限制提示时，向云平台或运营商核实，不能只调整主机防火墙。

curl -i 默认不跟随跳转；需要查看跳转链时，可执行：

sh
curl -i -L --max-redirs 5 'http://example.com/.well-known/pki-validation/验证文件名.txt'

替换为订单 URL，逐跳检查 Location、响应头与最终正文，并按实际 CA 支持的跳转规则配置。HTTPS 验证还需检查 Host、SNI 和证书校验要求；复测使用启用证书校验的 curl 请求。

现象处理方向
200，正文却是旧 token 或登录页更新本订单验证文件，检查域名和路径路由，并清理验证路径的 CDN 旧缓存。
493，同时有 X-JFE-Reason: deny:geo、X-JFE-Action: forbidden该组响应头提示地域策略拒绝，应结合平台日志确认。这是京东云 JFE 的非标准响应示例，不能把所有 493 都解释为地域封禁。
只有部分地区或入口失败核对 IPv4/IPv6、所有后端及缓存节点，检查验证路径的访问例外；只测 TCP 80/443 连通不够。

WAF 例外尽量限定在验证路径，保留其他业务的防护规则。本地、手机或第三方在线检测用于辅助定位问题，最终验证状态以 CA 检查结果为准。

文件验证能否自定义端口？ ​

不要将订单验证地址自行改为 :8080 等端口。按订单和 CA 支持的方式开放 HTTP 80 或 HTTPS 443；例如 DigiCert HTTP Practical Demonstration要求公网可访问的 80 端口。重定向及 HTTPS 验证规则按实际 CA 要求执行。

DNS 验证：dig、nslookup 或在线检测 ​

使用订单提供的验证主机名查询：

sh
dig TXT _dnsauth.example.com +short

或：

sh
nslookup -type=TXT _dnsauth.example.com

CNAME 验证将 TXT 改为 CNAME。也可使用 MySSL DNS 检测 查看不同网络的结果。

名称与记录值要对应订单 ​

  • 解析区为 example.com、主机记录为 _dnsauth.app 时，完整查询名是 _dnsauth.app.example.com。确认 DNS 控制台是否自动追加区名，避免保存成重复后缀。
  • 通配符 *.example.com 的验证记录通常类似 _dnsauth.example.com，但必须使用订单指定名称，不要自行把 * 放进查询名。
  • TXT 值与本订单当前 token 对比；CNAME 目标末尾的根点（.）是正常的绝对名称展示，其他部分不同不能当作匹配。不要只凭链路可解析就认定满足该产品的 CNAME 验证规则。

没有结果时查看 DNS 状态 ​

+short 适合快速看值，但不便区分空答案和查询失败。排障时保留完整输出：

sh
dig TXT _dnsauth.example.com
结果含义与下一步
NXDOMAIN查询名称不存在；核对完整名称、区名拼接及实际公网权威区域。
NOERROR，没有该类型答案本次应答没有所查类型的数据；若有 CNAME，另看别名链，不能直接断言整个验证记录不存在。
SERVFAIL解析或校验失败；继续检查权威服务、网络和 DNSSEC，不能当作没有记录。
超时未在等待时间内取得响应；需进一步定位，不能直接认定端口关闭或境外封禁。

由运维从公网 NS 委派确认实际权威服务器 IP 后，可将示例 IP 替换为真实地址直查：

sh
dig @192.0.2.53 TXT _dnsauth.example.com +norecurse

逐台检查权威答案及 aa 标志，再与递归解析器结果比较。权威无数据、权威超时和递归缓存未更新是不同问题；不要因某个递归节点返回旧值就立即重写正确的权威记录。

  • 记录类型、主机名和记录值应与订单一致。
  • 验证记录使用 默认线路，不要仅设置某个国家、地区或电信、联通等 ISP 线路。
  • 已有分线路记录时，检查它们是否覆盖默认记录、返回不同验证值。
  • 自建权威 DNS 的前置防火墙和服务器防火墙应允许公网访问 UDP 53，同时支持 TCP 53，不能只允许国内或内网查询。

企业自建 DNS 的访问路径 ​

以下适用于企业自行部署公网权威 DNS 的场景。使用托管 DNS 时，应检查托管平台的记录和线路配置。

  • 查对服务器：记录应配置在公网 NS 指向的权威 DNS，只在企业内网 DNS 添加记录，公网验证节点读不到。
  • 查对来源：防火墙看到的可能是递归解析器出口 IP，不一定是 CA 验证节点 IP；不能直接套用下方文件验证 IP 清单。
  • 查全节点：所有对外权威 DNS 均应可访问并返回一致记录，检查 UDP/TCP 53、海外限制、服务器查询 ACL 和分线路解析。

需要公开的是权威 DNS 查询服务，不需要开放公共递归解析。前置防火墙无请求记录时先检查公网 NS 和网络入口；防火墙已放行但查询仍失败时，继续检查 DNS 服务器日志、查询权限和记录内容。

请沿对应路径逐层检查，并对比不同地区的查询或访问结果。

文件验证 IP 放行清单 ​

按实际验证 CA 使用以下清单，不同品牌不能混用。规则应结合上图分别检查公网入口与回源链路；WAF 例外尽量限定在验证路径。

TrustAsia ​

以下为 TrustAsia DDCV 公网节点 IP，用于配置文件验证路径的访问放行规则。

text
101.89.87.34
180.167.86.3
8.146.209.70
101.43.128.119
8.137.56.95
43.136.173.110
8.162.2.5
8.148.67.87
54.241.185.53
54.241.96.97
52.28.224.233
3.126.196.126
52.82.97.93
69.235.167.224
54.189.196.217
61.169.108.25

DigiCert、GeoTrust、SecureSite ​

以下为 DigiCert MPIC 节点 IP，用于配置验证请求的访问放行规则。地址及后续调整可查看 DigiCert 官方 MPIC 页面。文件验证还需结合 HTTP 验证 IP 清单配置，该清单包含 216.168.249.9 等其他 HTTP 验证来源；调整规则时一并核对已有放行项。

text
13.232.96.181
54.169.250.231
18.166.173.162
56.228.59.9
52.78.185.62
52.197.215.146
216.168.240.4
216.168.247.9
202.65.16.4
54.185.245.130
13.58.90.0
52.17.48.104
18.193.239.14
54.227.165.213
54.241.89.140

DigiCert 文件验证还可针对验证路径配置以下 User-Agent 放行：

text
DigiCert DCV/1.1
DigiCert DCV Bot/1.1

User-Agent 仅用于验证路径的访问策略，不作为身份认证。已有放行地址不要仅因未出现在上述 MPIC 快照中就删除；HTTP 验证可能另有来源。此表也不能当作 DNS 查询来源的完整名单。

配置正确仍未通过 ​

根据现象继续检查：

修复后再触发订单验证。

仍失败时，通过工单向技术支持提供：

  • 订单号、验证方式、完整验证主机名或 URL，以及当前期望值与实际值的对比。
  • 测试时间及时区、检测节点地区及已知来源 IP；不同视角的结果分别记录，不把第三方检测节点与 CA 节点混计。
  • DNS 状态与查询服务器，或 HTTP 状态、响应头、跳转链、最终正文，以及对应的防火墙/WAF 日志。

公网分享截图或案例前，请脱敏订单、业务信息和验证 token；工单材料按支持要求通过安全渠道提供。不要提交私钥、账号密码或访问令牌。