只需在您的 DNS 加入一條記錄，ACME 用戶端 (例如 Certbot 或 acme.sh) 其後每次簽發 SSL 證書時，均可自動完成 DNS 驗證，無需向任何程式提供 DNS 管理權限。

HK$300
每項委派 / 每年

為何需要 DNS 驗證委派？

使用 ACME 協定自動簽發 SSL 證書時，證書簽發機構須確認您擁有該域名。最常見的 HTTP 驗證，須在網站放置驗證檔案，並讓簽發機構經互聯網的 80 端口讀取。以下情況未能使用 HTTP 驗證，只可以使用 DNS 驗證（DNS-01），即每次簽發前都要在域名的 DNS 加入一條指定的 TXT 記錄：

  • Wildcard 證書：例如 *.example.com，簽發機構只接受 DNS 驗證。
  • 沒有網站服務的伺服器：例如郵件伺服器（SMTP、IMAP、POP3）、VPN、FTP 或資料庫伺服器。
  • 不對外開放 80 端口的設備：例如內聯網伺服器、防火牆、NAS、打印機及各類 IoT 裝置。
  • 證書用於多部伺服器：例如負載平衡後的多部伺服器，驗證檔案未必放在處理請求的那一部。

DNS 驗證本身並不困難，難處在於自動化：每次簽發都須修改 DNS 記錄。

一般做法

  • 須將 DNS 供應商的 API 密鑰交給 ACME 用戶端
  • 該密鑰通常可修改帳戶內所有域名的所有記錄
  • 伺服器一旦被入侵，DNS 亦可能被竄改
  • 部分 DNS 供應商並不提供 API

使用 DNS 驗證委派

  • 只需一次性加入一條 CNAME 記錄
  • 無需提供 DNS 供應商的 API 密鑰
  • 專用密鑰只可處理指定域名的驗證記錄
  • 適用於任何 DNS 供應商

服務優點

DNS 管理權限留在您手中

您無需交出 DNS 供應商的帳戶或 API 密鑰，網站、電郵等其他 DNS 記錄完全不受影響。

一次設定，長期使用

CNAME 記錄設定後無需再更改。其後每次簽發或更新證書，驗證均自動完成。

支援 Wildcard 證書

同一項委派可用於 example.com、www.example.com 及 *.example.com 的證書驗證。

權限範圍受限

每項委派均有獨立的專用密鑰，只可新增或刪除該域名的驗證記錄，不能修改任何其他內容。

運作方式

  • 申請服務

    告訴我們需要委派的域名。我們會為該域名提供 CNAME 目標名稱及一組專用密鑰。

  • 加入 CNAME 記錄

    在您的 DNS 加入一條 CNAME 記錄，指向我們提供的目標名稱。以 example.com 為例：

    _acme-challenge.example.com  CNAME  （我們提供的目標名稱）

    如該名稱下已有 TXT 記錄，請先將其刪除。

  • 設定 ACME 用戶端

    在您的伺服器安裝我們提供的驗證腳本（適用於 Certbot 或 acme.sh），並填入專用密鑰。

  • 自動完成驗證

    每次簽發或更新證書時，驗證腳本會自動加入及刪除所需的驗證記錄，整個過程毋須人手處理。

收費

項目內容
DNS 驗證委派HK$300／每項委派／每年
每項委派涵蓋一個域名及其 www 名稱，例如 example.com 及 www.example.com，亦適用於 *.example.com 的 Wildcard 證書
其他子域名每個子域名須另設一項委派，例如 shop.example.com

以上收費只包括 DNS 驗證委派服務，並不包括 SSL 證書費用。

常見問題

申請或查詢

如欲申請 DNS 驗證委派服務，或了解是否適用於您的環境，歡迎致電 (852) 26222130 與我們聯絡。