DNS 自动验证

阿里云云解析 DNS、腾讯云 DNSPod、Cloudflare 可授权本站自动填写证书验证记录。单域名、子域名和通配符证书均可使用。

这是可选功能，可为首次申请和后续换证自动填写 DNS 验证记录。选择手动 DNS、邮箱或 HTTP 验证时，无需进入「验证授权」页。

选哪种方式？

添加授权后，还需在订单或证书中选用，才会自动填写 DNS 记录。如需套餐内自动换证，请在证书签发后到详情页开启「自动换证」；如需新证自动推送到云产品或自建服务器，再配置「证书部署」。邮箱验证与 DNS 自动验证都可配合自动换证。

三步配置

1. 打开右上角账号菜单中的「验证授权」（手机端在展开菜单后的账号区域），点击「添加授权」；首次进入时表单默认展开。选择实际提供解析的服务商卡片。
2. 按「按最小权限创建密钥」中的步骤创建凭据，再在「填写解析域名和密钥」中输入域名和凭据，点击「保存并检查连接」。Cloudflare 需填写 Zone ID 与 API Token。邮箱验证无需添加授权，页面底部有教程链接。
3. 回订单申请页选择「DNS 自动验证」，点击「更新授权列表」，选择刚添加的授权并提交申请；已有 DNS 证书可在详情页的「DNS 自动验证」中选择并保存。

已有邮箱证书不会因添加 DNS 授权而自动切换。确需修改时，按 验证方式的修改入口 主动改为 DNS 并确认，再到详情关联授权；未关联授权前由您手动添加记录。

「解析域名」请与云解析控制台一致。如证书为 api.example.com，而控制台托管的是 example.com，填写 example.com。系统会自动换算主机记录，无需手动去掉域名后缀。

域名的权威解析必须实际在所选服务商。仅在服务商处注册域名并不代表使用了它的 DNS。此入口不支持阿里云 ESA、腾讯云 EdgeOne 或其他 DNS 产品，也不会修改 NS 服务器。

添加授权不会自动替所有证书启用验证，只有在申请页或证书详情选用后才生效。授权管理页的「连接正常」仅代表连接检查通过，不代表某张证书已经完成验证。

阿里云最小权限

在 RAM 控制台 创建专用 RAM 用户，使用 API 密钥，不需要控制台登录权限。新建自定义权限策略并绑定该用户。

主账号 ID 在哪里查？

1. 登录阿里云控制台，将鼠标移到右上角头像上。
2. 使用主账号登录时，查看「账号 ID」；使用 RAM 用户登录时，查看「主账号 ID」。复制对应的数字 UID。也可参考 阿里云官方查询说明。

权限策略中填写的是解析域名所属主账号的 UID，不要填写 RAM 用户 ID、AccessKey ID、登录名或账号别名。

将下方 主账号ID 替换为查到的数字 UID，example.com 替换为解析域名，不能原样保留这两个占位符。例如，假设主账号 UID 为 1234567890123456、解析域名为 example.com，则 Resource 填写 acs:alidns::1234567890123456:domain/example.com；示例 UID 请替换为您自己的值：

{
  "Version": "1",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "alidns:DescribeDomainRecords",
      "alidns:AddDomainRecord",
      "alidns:UpdateDomainRecord"
    ],
    "Resource": "acs:alidns::主账号ID:domain/example.com"
  }]
}

在本站填写该 RAM 用户的 AccessKey ID 和 AccessKey Secret。不需要 AliyunDNSFullAccess、删除记录权限、域名列表权限或证书部署权限。

腾讯云最小权限

在 访问管理控制台 创建专用子用户，启用编程访问，新建自定义策略并绑定子用户。

将下方 主账号UIN 替换为账号 UIN，域名ID 替换为 DNSPod 控制台中该域名的数字 ID（不是域名字符串，也不是 APPID）：

{
  "version": "2.0",
  "statement": [{
    "effect": "allow",
    "action": [
      "dnspod:DescribeRecordList",
      "dnspod:CreateRecord",
      "dnspod:ModifyRecord"
    ],
    "resource": ["qcs::dnspod::uin/主账号UIN:domain/域名ID"]
  }]
}

在本站填写子用户的 SecretId 和 SecretKey，使用腾讯云国内站 DNSPod。这里不是 DNSPod 旧版 ID/Token。不需要 QcloudDNSPodFullAccess、删除记录权限或账号全部域名的列表权限。

三家的云权限都以整个指定解析域名为范围，不能把上面的策略误认为云端已限制到单条 CNAME。本站另外校验证书归属、域名范围和本轮验证记录，仅自动处理验证用的 CNAME。

Cloudflare 最小权限

1. 打开 API Tokens，点击 Create Token → Create Custom Token。
2. Permissions 只添加一行：Zone · DNS · Edit。Zone Resources 设为 Include · Specific zone · 您的解析域名。不需要添加 Zone:Read（Zone · Zone · Read），本站不调用 /zones 列表接口。
3. 创建并保存 API Token。在该域名 Overview 页右侧 API 区域复制 Zone ID，回本站填写这两个字段。不要使用 Global API Key；本站只支持 Bearer Token，不使用 X-Auth-Key / X-Auth-Email。
4. 可选：设置 Token 过期时间；过期后需在本站通过「更换密钥」保存新的 Token。Zone ID 未变时可留空保留原值。

配置清单（将 example.com 替换为解析域名）：

Permissions: Zone · DNS · Edit
Zone Resources: Include · Specific zone · example.com

Cloudflare 的 DNS Edit 包含读取、新增、修改和删除权限，无法再细分。Token 应限定单个 zone；本站代码从不调用删除接口。 不要将权限范围设为全部域名。授权范围并非单条记录，本站另外限制只处理本轮验证 CNAME。

验证记录必须使用 DNS only（灰色云朵）。本站新增或修改记录时明确关闭代理；已有同名记录若开启代理（橙色云朵），会停止并提示核对，不会自动关闭您的代理配置。

连接检查只抽查该 zone 的前 20 条记录，并核对返回名称是否属于所填解析域名；空 zone 无法仅凭 DNS 列表确认域名归属，请对照控制台核实 Zone ID。检查通过只证明读取正常，新增、修改权限在实际写入时检查；不检测 NS，也不代表 CA 已完成验证。

状态与故障处理

• 连接正常：证明密钥可以读取该域名；新增、修改权限在实际写入时检查。连接检查不新增测试解析。
• 等待自动配置 / 正在配置解析：任务在后台执行，可稍后刷新。
• 解析已配置，等待签发：云端已确认记录，不代表 DNS 已全球生效或证书已签发。有效自动配置进行中不发即时进度信；记录不完整也不会立刻发信。邮件频次见 自动化与通知。
• 解析配置失败：显示原因；系统最多自动尝试 3 次。处理原因后点击「重新检查并配置」，或手动填写详情页的记录。

已有同名、不同值的记录不会直接被覆盖。只有本站管理过、且云端记录 ID 和原值仍吻合的验证记录才会自动更新；其他类型、已暂停、非默认线路、开启 Cloudflare 代理、多条同名记录都会停止并提示。云控制台手工修改过的记录也需先核对。

为保留最小权限，本站不删除验证记录，不自动修改 CAA。停用或删除授权不会删除云端已有解析。旧证书在换证期间继续保留，新证真正签发后才更新证书文件与自动部署。

密钥加密保存，不回显；可随时停用授权或更换密钥。已有订单和历史证书不会自动启用，必须由您明确选择授权。

官方接口说明

• 阿里云：查询、新增、修改
• 腾讯云：查询、新增、修改、域名资源授权
• Cloudflare：查询、新增、PATCH 修改、API Token 权限、记录备注与套餐限制