只需在您的 DNS 加入一条记录，ACME 用户端 (例如 Certbot 或 acme.sh) 其后每次签发 SSL 证书时，均可自动完成 DNS 验证，无需向任何程式提供 DNS 管理权限。

HK$300
每项委派 / 每年

为何需要 DNS 验证委派？

使用 ACME 协定自动签发 SSL 证书时，证书签发机构须确认您拥有该域名。最常见的 HTTP 验证，须在网站放置验证档案，并让签发机构经互联网的 80 端口读取。以下情况未能使用 HTTP 验证，只可以使用 DNS 验证（DNS-01），即每次签发前都要在域名的 DNS 加入一条指定的 TXT 记录：

  • Wildcard 证书：例如 *.example.com，签发机构只接受 DNS 验证。
  • 没有网站服务的伺服器：例如邮件伺服器（SMTP、IMAP、POP3）、VPN、FTP 或资料库伺服器。
  • 不对外开放 80 端口的设备：例如内联网伺服器、防火墙、NAS、打印机及各类 IoT 装置。
  • 证书用于多部伺服器：例如负载平衡后的多部伺服器，验证档案未必放在处理请求的那一部。

DNS 验证本身并不困难，难处在于自动化：每次签发都须修改 DNS 记录。

一般做法

  • 须将 DNS 供应商的 API 密钥交给 ACME 用户端
  • 该密钥通常可修改帐户内所有域名的所有记录
  • 伺服器一旦被入侵，DNS 亦可能被窜改
  • 部分 DNS 供应商并不提供 API

使用 DNS 验证委派

  • 只需一次性加入一条 CNAME 记录
  • 无需提供 DNS 供应商的 API 密钥
  • 专用密钥只可处理指定域名的验证记录
  • 适用于任何 DNS 供应商

服务优点

DNS 管理权限留在您手中

您无需交出 DNS 供应商的帐户或 API 密钥，网站、电邮等其他 DNS 记录完全不受影响。

一次设定，长期使用

CNAME 记录设定后无需再更改。其后每次签发或更新证书，验证均自动完成。

支援 Wildcard 证书

同一项委派可用于 example.com、www.example.com 及 *.example.com 的证书验证。

权限范围受限

每项委派均有独立的专用密钥，只可新增或删除该域名的验证记录，不能修改任何其他内容。

运作方式

  • 申请服务

    告诉我们需要委派的域名。我们会为该域名提供 CNAME 目标名称及一组专用密钥。

  • 加入 CNAME 记录

    在您的 DNS 加入一条 CNAME 记录，指向我们提供的目标名称。以 example.com 为例：

    _acme-challenge.example.com  CNAME  （我们提供的目标名称）

    如该名称下已有 TXT 记录，请先将其删除。

  • 设定 ACME 用户端

    在您的伺服器安装我们提供的验证脚本（适用于 Certbot 或 acme.sh），并填入专用密钥。

  • 自动完成验证

    每次签发或更新证书时，验证脚本会自动加入及删除所需的验证记录，整个过程毋须人手处理。

收费

项目内容
DNS 验证委派HK$300／每项委派／每年
每项委派涵盖一个域名及其 www 名称，例如 example.com 及 www.example.com，亦适用于 *.example.com 的 Wildcard 证书
其他子域名每个子域名须另设一项委派，例如 shop.example.com

以上收费只包括 DNS 验证委派服务，并不包括 SSL 证书费用。

常见问题

申请或查询

如欲申请 DNS 验证委派服务，或了解是否适用于您的环境，欢迎致电 (852) 26222130 与我们联络。