手动DNS验证如何检测DNS解析记录是否生效？检测步骤如下：
在证书列表中找到当前证书状态为审核中的证书记录。
单击操作列下的验证。
单击验证，如提示未检测到DNS记录值，单击查看记录值，系统会跳转到域名解析工具中。
在域名解析工具中解析DNS，判断解析记录是否生效。
控制台提示“未检测到DNS记录值”怎么办？常见原因及解决方案如下：
未添加域名解析记录。
请参见域名所有权验证，前往您对应的 DNS 域名解析服务商，手动添加一条CNAME 或TXT 类型的解析记录，用于验证域名所有权。
控制台验证存在延迟。
如果您已正确添加域名解析记录，但仍提示"未检测到DNS记录值"，可能是控制台的验证存在解析延迟。您无需任何操作，耐心等待后重试即可。
SSL 证书绑定的域名与 DNS 解析的域名不一致。
说明 如果您使用的不是阿里云 DNS 解析服务，请前往对应的 DNS 解析服务商确认域名信息。
确认域名是否一致。
登录阿里云控制台，在云解析 DNS > 权威域名解析页面找到目标域名（标签为 cert），再在数字证书管理服务 > SSL 证书管理页面查看对应证书的绑定域名，对比两者是否一致。
在 SSL 证书验证页面单击修改，重新填写证书绑定域名后再次提交审核。
在证书申请页面的验证信息步骤中，若 DNS 验证失败且提示未检测到 DNS 记录值，可单击错误提示右侧的修改按钮重新配置 DNS 解析记录，或单击查看记录值核对主机记录和记录值是否与域名管理控制台中添加的 DNS 解析记录一致。
控制台提示“DNS记录值不匹配”怎么办？常见原因及解决方案如下：
DNS 解析记录值配置错误。
请重新从证书申请页面复制主机记录和记录值，粘贴到 DNS 解析配置中。
请确认 DNS 解析记录配置正确：在 SSL 证书验证信息页面，选择 TXT 验证方式，将表格中的主机记录和记录值通过复制按钮分别复制，然后在域名管理控制台的添加记录表单中，将记录类型选择为 TXT，将复制的主机记录和记录值粘贴到对应的主机记录和记录值输入框中，解析请求来源选择默认，TTL 设置为 10 分钟（推荐），完成后单击验证。
使用 DNSPod 或其他第三方 DNS 服务商。
您可以忽略控制台提示的相关错误，直接在 DNSPod 或其他 DNS 服务商处按要求配置 DNS 解析记录，然后等待 CA 验证即可。
DigiCert 品牌的 DV 证书，解析记录值已超过 24 小时。
删除已超过 24 小时的 TXT 解析记录。
前往数字证书管理服务控制台，重新申请目标证书，获取最新的 TXT 解析记录值。
前往域名解析服务商平台重新添加新的 TXT 解析记录。
说明 GeoTrust 品牌的 DV 证书时间戳始终有效，不受此限制。
记录值未同步至海外 DNS。
动态解析记录的同步可能出现延迟，导致海外权威 DNS 服务器无法获取最新的 TXT 记录值。请检查动态解析服务是否正常运行，耐心等待即可。
控制台提示“验证超时，请重试。”怎么办？站点服务器的网络异常，请联系对应的域名服务商，检查并修复网络情况。
为什么域名解析已经生效，但是控制台验证仍旧不通过？控制台验证存在一定的延迟，可等待1分钟左右后再次重试。
域名存在 CAA 解析记录导致验证失败说明 CAA（Certification Authority Authorization, 证书颁发机构授权） 是一种 DNS 记录类型，它允许域名所有者通过 DNS 明确指定哪些 CA（证书颁发机构）被授权为自己的域名签发 SSL/TLS 证书。这样可以有效防止非法或错误的证书签发，提升网站安全。
解决方案一：请前往域名DNS解析服务商（如：云DNS解析控制台），在域名的解析配置页，将记录类型为“CAA”的解析记录删除，操作完成后重新申请证书即可。
解决方案二：将证书对应的CA机构加入CAA 解析记录，操作完成后重新申请证书即可。
说明 若当前域名的 CNAME 指向 github.io域名，将同步引用 github.io 的 CAA 策略从而影响到证书的签发。此时，请在证书签发前暂停该 CNAME 记录，或将 CAA 记录添加 trust-provider.com、globalsign.com 、sectigo.com。
域名解析供应商不是阿里云，如何配置域名解析记录？方案
操作方法
优点
在原服务商配置
登录当前域名管理平台，添加从阿里云获取的 SSL 证书验证记录（CNAME/TXT）。
说明 如有疑问，请联系您的域名解析服务商。
快速直接，无需转移域名。
将域名转入阿里云
参考域名转入阿里云完成转入后，在云解析 DNS 控制台完成 DNS 解析配置。
重要 域名转入时需交纳一年的续费费用，即转入价格为域名续费一年的价格。
便于后续证书续签和域名的统一管理。
点击查看记录时，主机记录前面多一个点怎么办？这是正常现象。DNS系统中的完整域名格式要求在主机记录后添加一个点作为根域标识。例如，显示为 _dnsauth.example.com. 时，实际验证使用的是 _dnsauth.example.com，末尾的点不影响验证结果，可以忽略。
SSL证书DNS验证显示"自动获取"但需要手动添加怎么办？如果域名已托管在阿里云云解析DNS，但验证信息显示需要手动添加，可能是因为系统尚未检测到DNS托管状态。请确认域名的NS记录是否已正确指向阿里云云解析DNS，等待几分钟后刷新页面重试。
如何确认当前使用的DNS服务器？在命令行执行 nslookup -type=NS 域名，返回的NS记录即为当前使用的DNS服务器。例如返回结果中的 dns1.hichina.com 和 dns2.hichina.com 表示使用阿里云云解析DNS。
SSL证书DNS验证时，TXT记录的主机记录是否必须包含下划线？是的，主机记录必须包含下划线，格式为 _dnsauth。该下划线是CA机构要求的DNS验证标准格式，不是显示异常。请勿省略下划线。
DNS验证的主机记录是否只能填www？不是。主机记录应填写SSL证书控制台中提供的验证信息（通常为 _dnsauth），请勿填写 www。填写 www 会导致验证失败。
无法识别哪条是旧的 _dnsauth 记录值怎么办？如果域名下存在多条_dnsauth开头的记录，请通过以下方式区分：
查看每条记录的创建时间或修改时间（在DNS解析服务商的控制台中通常会显示）。
对比SSL证书控制台中当前的验证信息记录值进行匹配。
如果无法确认，可以暂时保留所有记录。
如何获取并配置第二张SSL证书的DNS验证记录值？为同一域名申请第二张SSL证书时，DNS验证记录值可能与第一张不同。在SSL证书管理控制台中找到第二张证书，单击验证，获取该证书专属的验证信息（主机记录和记录值），然后在DNS服务商处添加新的验证记录，或与已有记录合并（若主机记录相同，请修改记录值为最新值）。
添加新证书的TXT验证记录是否会影响旧证书？不会。新证书的TXT验证记录仅用于新证书的域名验证，不影响已签发的旧证书。旧证书在有效期内可正常使用。
SSL证书DNS验证记录值能否使用服务器公网IP地址？不能。SSL证书DNS验证的记录值必须由CA机构提供，格式为特定的验证字符串。不能使用服务器公网IP地址作为DNS验证记录值。
SSL证书已签发是否还需要配置DNS解析记录？证书签发后，DNS验证记录的作用已完成。建议在证书签发后删除TXT解析记录，以避免后续添加解析记录时发生冲突。但如果使用的是CNAME验证且希望支持后续自动续期，可以保留CNAME记录。
删除TXT解析记录是否会影响其他记录？不会。删除某条TXT解析记录只影响该记录本身，不会影响同一域名下的其他DNS记录（如A记录、MX记录、CNAME记录等）。
添加TXT解析记录后客服能否看到验证状态？可以。添加TXT解析记录后，CA机构会自动检测验证结果。客服可以在数字证书管理服务控制台中查看验证状态。也可以单击验证按钮手动触发验证。
SSL证书申请中域名后缀不一致导致验证失败怎么办？请确保SSL证书申请的域名与DNS解析记录中的域名完全一致。例如，申请 www.example.com的证书，DNS验证记录的完整域名也必须是 _dnsauth.www.example.com。如果不一致，请在SSL证书验证页面单击修改，更正证书绑定域名。
确认域名验证时应填写主域名还是www？请根据申请证书时绑定的域名填写。如果申请的是 example.com 的证书，填写 example.com；如果申请的是 www.example.com 的证书，填写 www.example.com。两者是不同的验证对象。
申请主域名证书时，是否需要验证www子域名？DV证书仅需验证证书绑定的具体域名。如果申请的是主域名 example.com 的证书，只需验证 example.com，不需要额外验证 www.example.com。
域名主机记录出现异常后缀是系统bug吗？如果主机记录显示 _dnsauth.example.com.（末尾带点），这是DNS的完整域名格式，属于正常现象。末尾的点代表DNS根域，不影响验证。如果显示其他异常格式，请确认是否从SSL证书控制台正确复制了主机记录值。
无法接收CA的电话或短信验证时的替代方案如果无法接收CA的电话或短信验证，可以选择邮件验证方式（适用于OV和EV证书），CA将向公司注册邮箱发送验证邮件。对于DV证书，可以通过DNS验证或文件验证完成域名所有权验证，无需电话或短信验证。
如何确认域名解析服务商？不确定当前域名使用的 DNS 服务商时，可通过以下方式确认：
在命令行执行 nslookup -type=NS 域名（如 nslookup -type=NS example.com），查看返回的NS记录。
NS记录中的域名即为当前使用的DNS服务商。例如，返回 dns1.hichina.com 和 dns2.hichina.com 表示使用阿里云云解析DNS。
记录冲突如何处理？若域名下已存在旧的验证记录（如之前申请证书时添加的 _dnsauthTXT记录），建议直接修改记录值为最新的验证信息，无需删除旧记录后重新添加。
已存在同主机记录的DNS记录时：如果同名记录是旧证书的验证记录且证书已过期或已废弃，建议删除或修改。如果该记录仍用于其他证书的有效验证，请保留并确认新证书使用新的记录值。
同一主机记录只能有一条TXT记录：如需添加新的验证记录，请修改已有记录的值。如果DNS服务商支持多条TXT记录，可以直接添加新记录。
修改或删除旧的_dnsauth记录是否会影响现有证书？不会。SSL证书签发后，验证记录仅用于申请阶段的域名所有权验证。证书一旦签发成功，即与验证记录无关。修改或删除旧的 _dnsauth记录不会影响已签发的有效证书。
申请通配符证书时CNAME验证失败如果申请通配符证书时CNAME验证失败，可以尝试改用TXT记录验证。在SSL证书管理控制台选择手动DNS验证，选择 TXT 记录类型并获取对应的TXT记录值，然后在DNS服务商处添加TXT记录。
申请证书时，如需跨账号验证怎么操作？DNS解析记录只需在域名所在的账号中添加，无需在证书申请账号中操作。跨账号域名添加TXT记录后，验证成功即可通过审核，与账号归属无关。若域名解析在其他阿里云账号下，请确保有该账号的DNS解析操作权限。
域名备案要求暂停解析时如何处理？建议在备案操作前完成DNS验证，确保验证记录已生效。
若备案期间验证记录被清除，备案完成后请重新添加验证记录，并在SSL证书控制台重新点击验证。
如果备案时间较长导致验证超时，请撤回证书申请并重新提交。
二级域名是独立解析的情况，应该如何处理？若申请的是二级域名（如 sub.example.com）证书，且该二级域名有独立的DNS解析设置（即NS记录已委派到独立的DNS区域），请在该二级域名的独立DNS解析设置中添加验证记录。
若二级域名未做NS委派（仍由主域名的DNS服务器解析），请在主域名的解析设置中添加记录，主机记录填写 _dnsauth.sub。
在第三方DNS服务商处添加SSL证书验证记录时，主机记录应该如何填写？在第三方DNS服务商处添加SSL证书验证记录时，主机记录应严格按照SSL证书控制台提供的信息填写，通常为 _dnsauth，这是CA机构要求的标准格式，不可省略或替换为 www 等其他值
通配符SSL证书DNS验证时，主机记录和记录值应该如何填写？对于通配符证书，需在主域名下添加DNS记录。主机记录应严格按照SSL证书控制台提供的信息填写，通常为 _dnsauth；记录类型（Type）选择 TXT（部分场景也支持CNAME，但通常推荐TXT）；记录值（Value）填写系统提供的具体验证字符串，严禁填写 *。配置完成后在控制台单击验证按钮，等待审核通过。
修改域名DNS服务器后，SSL证书DNS验证仍超时怎么办？修改域名DNS服务器后验证超时，通常是因为DNS修改后尚未全球生效或DNSSEC配置异常导致解析失败。排查步骤如下：
登录域名控制台，检查域名是否开启了DNSSEC。若已开启，需同步配置DS记录。
检查域名的DNS管理配置及DNS修改记录，确认修改是否正确。
确认DNS服务器修改时间。DNS修改后通常有24~48小时的全球生效时间，建议等待生效后再进行验证。
如何删除云解析DNS中多余的 _dnsauth 验证记录？登录云解析DNS控制台，找到对应的域名并单击解析设置，找到之前多余的 _dnsauth 记录并单击删除。注意不要删除其他记录，只删除多余的 _dnsauth 记录，保留最新的一条。
SSL证书DNS验证中，TXT记录类型与A记录类型有什么区别？应该选择哪种？在SSL证书DNS验证过程中，A记录用于将域名指向服务器IP地址以提供网站访问服务，而TXT记录（特别是 _dnsauth 开头的记录）是CA机构用于验证域名所有权的专用记录。用户在配置DNS验证时，必须选择 TXT 类型来添加验证记录，而不是A记录。只有正确配置TXT记录并通过验证后，证书才会签发。