DV证书验证通过但证书迟迟不签发？CA审核延迟原因排查

　　DV证书的签发速度，在正常条件下可以用“分钟”来衡量。验证文件放对了、DNS记录生效了，理论上十几分钟到半小时内证书就应该出现在控制台里。但现实是，很多人会遇到一个让人抓狂的状态：验证检测明明显示“已通过”，证书却卡在“待签发”一动不动，刷新页面没用，重新提交也没用。

　　这个问题不是bug，也不是CA机构的系统故障。“验证通过”和“证书签发”之间，隔着CA的安全审查机制。 搞清楚这道门槛背后的逻辑，才能判断自己是在“正常等待”还是“已经出局”。

　　验证通过只是拿到了入场券

　　DV证书的验证环节，解决的是一个很窄的问题：确认你对这个域名有控制权。无论是DNS的TXT记录、HTTP的文件校验，还是邮箱点击确认，目的都只是证明“你不是在冒用别人的域名”。

　　但CA机构需要判断的远不止这一点。域名控制权只是最低门槛，CA还要确认这个域名本身“干净”——没有钓鱼记录、不包含敏感关键词、不在内部黑名单上。这部分审查是自动化的，但它的结果不会在验证状态里体现。

　　所以你会看到一个割裂的状态：域名验证显示绿色对勾，证书状态却停在Pending。这不是系统出了问题，而是验证模块和签发模块本来就是两套逻辑。验证模块只管“你有没有权限”，签发模块管的是“CA愿不愿意发”。

　　轮询机制：为什么有人10分钟拿到，有人等一天

　　DV证书的签发不是“验证通过→自动触发签发”的即时流程。CA系统采用的是一个批量轮询机制：验证通过后，申请会进入一个待处理队列，CA以固定的周期扫描这个队列，对里面的域名做安全审查，通过之后才签发。

　　这意味着签发速度存在很大的运气成分。如果你的申请刚好赶在扫描窗口开始时进入队列，可能十几分钟就拿到了。如果刚好错过一个扫描周期，就要等下一个窗口。云服务商的文档把这个机制描述为“自动检测”，本质上是异步的、批量的，不是实时的。

　　从公开的技术文档来看，这个轮询窗口的间隔通常在小时级别。CA/Browser Forum的基线要求对DV证书的签发时限没有严格的分钟级规定，云平台普遍给出的预期是“10分钟到1个工作日”，但实际体验中，超过2小时未签发就需要开始排查了。

　　真正需要警惕的信号：安全审查拦截

　　轮询延迟只是时间问题，真正会导致“永远等不到”的，是安全审查不通过。

　　CA机构有一份内部的敏感词库和风险规则。域名中如果包含特定关键词，会直接触发拦截或转入人工审核。常见的触发词包括金融支付类和知名品牌类。这不是“擦边球”的问题，CA的匹配规则比直觉更宽泛，比如“live”这种看似无害的词也可能触发人工审核。

　　更隐蔽的情况是域名历史问题。一个域名如果曾经被用于钓鱼、欺诈或垃圾邮件，可能会被记录在CA的共享黑名单中。这种历史记录不会在验证环节暴露，但会在签发审查时被拦下。域名刚刚过户、之前持有人有违规操作，新持有人往往对此一无所知。

　　还有一类容易被忽略的情况是上游安全检测系统的误报。Microsoft Azure的App Service Certificate产品曾在验证完全通过的情况下，在时间线中标记“FraudDetected”状态，导致证书一直无法签发。这种情况下用户侧无法自行解除，只能联系CA或平台支持进行人工干预。

　　排查顺序：从自己能控制的开始

　　遇到“验证通过但未签发”，按照以下顺序排查，效率最高。

　　第一步，确认验证记录在公网确实可查。 这不是打开浏览器看一眼就算数。用第三方DNS查询工具查询你的TXT记录或验证文件，确认返回的值和CA要求的一模一样。DNS传播存在延迟，你的本地解析生效了，不代表CA的DNS服务器能看到。如果用的是DNS验证，用nslookup -type=TXT或dig命令从公共DNS查询。

　　第二步，检查域名是否触发了风险规则。 把域名拆开看，有没有包含上文提到的金融、支付、品牌类词汇。如果域名里有这类词，不要继续等了。DV证书基本不可能通过，直接转向OV或EV证书是更务实的做法。

　　第三步，确认没有使用Cloudflare等代理导致验证失败。 如果网站开启了Cloudflare的严格安全规则(比如按国家或IP拦截)，CA的验证请求可能被拦在门外。Let‘s Encrypt从2024年起已经开始从多个国家同时发起验证，这意味着你之前能通过的单点验证，现在可能因为某个地区被拦截而失败。检查Cloudflare的WAF规则和地理封锁设置，确保.well-known路径对所有来源开放。

　　第四步，查看控制台的完整时间线。 部分平台(如Azure)会在证书订单的详情页展示事件时间线。如果看到“FraudDetected”或类似的标记，说明证书已经进入了安全审查流程，用户侧的操作已经无法推进。这种情况需要提交工单，由平台或CA的后端团队介入。

　　什么时候应该放弃等待

　　24小时是一个关键的时间节点。 多个云平台的文档都给出了同样的建议：如果DV证书验证通过后24小时仍未签发，继续等待的意义已经不大。这不是“再等等就好了”的问题，而是系统已经做出了某种隐含的判断，继续等下去不会改变结果。

　　此时的选择很明确：转向OV或EV证书。OV证书需要验证企业资质，审核时间更长(通常1-3个工作日)，但它绕开了DV证书的自动安全审查机制。域名敏感词的问题在OV流程中不会触发自动拦截，而是由人工审核员做判断。如果你需要快速获得一个可用的证书，也可以考虑从Let’s Encrypt等免费CA申请，它们的签发机制不同，对敏感词的拦截策略相对宽松，但需要注意其速率限制(同一域名每周最多5次失败授权)。

　　一个实用的习惯

　　申请DV证书时，不要盯着控制台刷新页面。证书签发状态的变化不会实时推送，过度刷新只会增加焦虑。更好的做法是：验证记录配置完成后，用第三方工具确认公网可查，然后设置一个2小时的提醒。如果2小时未签发，开始排查域名风险和历史记录。如果24小时未签发，直接换方案。DV证书的价值在于“快”，如果它不快了，继续等待就是沉没成本。