DV证书申请自动DNS验证和手动验证有什么区别

　　DV证书申请时的自动DNS验证和手动验证，核心区别在于谁来动手添加那条验证记录。自动验证是系统替你干，手动验证是你自己去域名解析后台加。

　　自动DNS验证：系统代劳

　　自动DNS验证是云服务商推荐的方式。它的逻辑很简单：你申请证书的账号和域名解析的账号是同一个，系统就有权限直接在你的DNS解析记录里，自动添加一条用于验证所有权的TXT记录。

　　你需要做的只是提交申请，然后等。系统会在后台自动完成记录添加、CA验证、证书签发这一整套流程。阿里云、华为云、腾讯云等平台都有这个功能，条件通常是：购买的是DV证书，且域名和证书申请在同一账号下，并使用了该平台自家的DNS解析服务。

　　这条记录会在证书签发后被系统自动删除，不需要你操心。

　　手动DNS验证：自己动手

　　手动验证适用于另一种场景：证书申请账号和域名解析账号不是同一个，或者域名用的是第三方DNS服务商。

　　这时候系统没法自动操作，你需要自己登录到域名的DNS管理后台，手动添加一条TXT记录。CA机构(比如DigiCert、GeoTrust)会给你一串随机值，你需要把它填到对应的主机记录下。

　　不同品牌的证书要求略有差异。DigiCert和GeoTrust通常需要添加TXT记录，而TrustAsia品牌可能需要添加CNAME记录。添加完成后，等待DNS解析生效，CA机构检测到记录就会签发证书。

　　手动添加的记录，证书签发后你可以自行删除，也可以保留。DigiCert还有一种“持久化TXT记录”模式，设置一次以后续期可以复用，不用每次重新添加。

　　怎么选：看账号和DNS归属

　　判断标准其实很简单：

　　如果证书和域名解析在同一个云平台账号下，优先选自动DNS验证。省事，不用担心记录填错，签发速度也快，通常1到2个工作日完成。

　　如果域名解析在别处(比如在Cloudflare、DNSPod，或者公司IT部门管理)，就只能手动验证。拿到CA给的记录值，去对应平台添加上去，等生效。

　　如果网站服务器还没上线，或者80/443端口不方便对外开放，手动DNS验证是唯一可行的方案。它不依赖服务器端口，只需要你能登录DNS管理后台就行。

　　一个容易踩的坑：

　　手动添加TXT记录时，注意主机记录的格式。申请主域名证书，主机记录通常是_dnsauth;申请二级域名证书，则是_dnsauth.qn这样的格式。记录值必须完整复制CA提供的那一长串字符，多一个空格都可能导致验证失败。

　　另外，如果域名已经配置了CNAME记录，同一主机记录下不能再添加TXT记录，两者会冲突。不过_dnsauth这个前缀是专门用于验证的独立子域，通常不会跟已有的CNAME撞车。

　　验证是否生效，可以用nslookup -q=TXT _dnsauth.你的域名.com命令查一下，返回的记录值跟CA给的一致就说明配置正确了。