自2021年12月1日起，所有通配符SSL证书均不再支持文件验证方式，必须采用DNS验证或域名邮箱验证，这一变更彻底改变了多子域名网站的安全部署流程。
曾经,文件验证是许多企业部署通配符证书的首选方案，只要在网站根目录放置一个特定的文本文件，验证系统通过HTTP请求检测该文件是否存在且内容正确，即可完成域名所有权确认，这种方式对于拥有独立服务器权限的管理员来说，操作直观且无需修改域名解析记录，这种便利性背后隐藏着巨大的安全隐患，攻击者一旦获取了Web服务器的写入权限，即可伪造验证文件，从而骗取证书颁发机构（CA）签发证书，进而实施中间人攻击窃听流量。
业内专家指出,为了消除这一安全漏洞，CA/浏览器论坛在2021年做出了重大决定，全面禁止通配符证书使用文件验证，这一政策并非针对某一家机构，而是全球所有主流CA必须遵守的行业标准，这意味着，如果你正在使用或计划使用通配符证书，必须立即调整技术策略，转向更安全的验证路径。
文件验证的核心缺陷在于其对服务器文件写入权限的过度依赖,在复杂的Web架构中，如负载均衡、CDN加速或分布式存储环境下，确保所有节点都能正确响应验证请求本身就极具挑战性，更糟糕的是，许多自动化运维脚本或CI/CD流程可能会意外覆盖或移动验证文件，导致证书续期失败。
相比之下,DNS验证将所有权证明转移到了域名解析层面，由于修改DNS记录通常需要更高的权限（如域名注册商账户或DNS服务商账户），攻击者即便攻破了Web服务器，也无法轻易篡改DNS记录来骗取证书，这种权限隔离机制大大提升了证书签发的安全性。
对于大多数中小企业和个人站长而言,理解并实施DNS验证是当前的首要任务，DNS验证的原理简单而高效：CA机构会生成一个唯一的TXT记录值，要求域名所有者在域名的DNS解析中添加这条记录，当CA系统检测到该TXT记录存在且值匹配时，即认定申请者拥有该域名的控制权。
实施DNS验证并不复杂,但需要注意细节，以下是标准的操作流程，适用于大多数主流DNS服务商，如阿里云、腾讯云或Cloudflare。
_dnsauth.example.com）和记录值（一串随机字符）。.example.com，主机记录可能只需填_dnsauth，具体取决于CA的要求。dig或nslookup命令检查本地DNS缓存，确认记录是否已正确分发。除了DNS验证,域名邮箱验证（EmailValidation）是另一种可选方案，但其适用范围有限，该方式要求CA向域名管理员邮箱（如[email protected]、[email protected]或[email protected]）发送验证邮件，用户点击邮件中的链接即可完成验证。
尽管邮箱验证操作简便,无需修改DNS，但它存在明显的局限性，并非所有CA都支持对通配符证书使用邮箱验证，许多机构已将其限制为仅适用于单域名证书，邮箱账户的安全性直接关联证书安全，如果管理员邮箱被黑客攻破，攻击者即可接收验证邮件并签发证书，随着反垃圾邮件策略的收紧，来自CA的验证邮件常被误判为垃圾邮件，导致验证失败。
据统计,相当一部分企业在尝试邮箱验证时，因邮件延迟或归类问题而延误证书部署，对于追求高可用性和安全性的生产环境，DNS验证仍是更可靠的选择。
为了帮助决策者更清晰地理解差异,以下表格对比了文件验证、DNS验证和邮箱验证的关键特性。
企业级多子域名架构
若你需要保护.example.com下的数十个子域名，且服务器分布在多个云平台，DNS验证是唯一推荐方案，它无需登录每台服务器，只需在DNS层面统一配置，极大降低了运维成本和安全风险。
小型网站或测试环境
若仅涉及单个域名，且你希望避免修改DNS记录，可尝试邮箱验证，但务必确保管理员邮箱长期有效且安全，并定期检查证书续期提醒，避免因邮箱失效导致证书过期。
自动化运维集成
对于拥有DevOps团队的企业，建议通过API集成DNS服务商，实现证书的自动化申请、验证和部署，这不仅符合SSL证书自动化续期的最佳实践，还能确保证书在过期前自动更新，避免服务中断。
随着零信任架构的普及,证书验证的自动化和安全性要求将持续提高，浏览器厂商对HTTP/2和HTTP/3的支持也间接推动了对通配符证书的需求，因为HTTP/2的多路复用特性使得单IP托管多个域名更加高效，而通配符证书正是实现这一目标的关键。
GDPR等数据隐私法规的严格执行,使得网站加密成为合规的基本要求，未能及时更新证书或采用不安全的验证方式，可能导致网站被标记为“不安全”，严重影响用户体验和品牌信誉，尽早迁移至DNS验证，不仅是技术升级，更是合规经营的必要举措。
不能，自该日期起，全球所有CA机构均禁止为通配符证书签发文件验证证书，若尝试使用，系统将直接报错或要求更换验证方式。
常见原因包括：DNS记录未正确添加（如主机记录前缀错误）、TTL设置过长导致缓存未刷新、或DNS服务商存在同步延迟，建议先使用在线DNS查询工具确认记录是否全球生效，再联系CA技术支持。
单域名证书仍可能支持文件验证或邮箱验证，具体取决于CA政策，但通配符证书因涉及多个子域名，文件验证的安全风险被放大，因此被强制要求使用DNS验证，单域名证书若使用DNS验证，操作逻辑与通配符证书相同，均需在DNS中添加TXT记录。
微信 
电话 
QQ