← Cloudflare for Platforms / cloudflare-for-platforms / cloudflare-for-saas / security / certificate-management / issue-and-validate / validate-certificates

TXT

Ověření záznamem TXT vyžaduje vytvoření záznamu TXT v autoritativním DNS daného hostname.

Jednu metodu ověření certifikátu si vyberete, když vytvořte vlastní hostitelský název. API přijímá jeden ssl.method hodnota: http, txt, nebo email.

Obecně byste měli použít DCV založené na TXT, když nemůžete použít Ověření HTTP nebo Delegovaná DCV, nebo když potřebujete, aby byl certifikát aktivní ještě před tím, než zákazník změní DNS.

Pokud váš vlastní hostitelský název neobsahuje zástupný znak, Cloudflare se vždy pokusí dokončit DCV pomocí Ověření HTTP poté, co hostname směřuje na váš cíl SaaS, i když jste vybrali TXT pro vaši metodu ověření.

Toto ověření HTTP by mělo proběhnout úspěšně, pokud hostitelský název vašeho zákazníka směřuje na váš cíl SaaS a zákazník nemá žádné záznamy CAA které blokuje vámi zvolenou certifikační autoritu.

Tento automatický pokus o HTTP neznamená, že API Create Custom Hostname přijímá v jednom požadavku obě metody ověření, HTTP i TXT. ssl.method pole přijímá jednu hodnotu.

Chcete-li ověřit certifikát u zástupného vlastního hostitelského názvu, měli byste buď nastavit Delegovaná DCV nebo DCV založené na TXT.

Cloudflare doporučuje Delegated DCV, protože je pro vás i vaše zákazníky mnohem jednodušší.

Pokud zvolíte DCV založené na TXT, Cloudflare vyžaduje umístění dvou tokenů TXT DCV, jednoho pro kořenovou doménu a jednoho pro záznam se zástupným znakem, u autoritativního poskytovatele DNS vašeho zákazníka, aby mohl wildcard certifikát vydat nebo obnovit.

Oba tyto tokeny jsou vyžadovány, protože Let’s Encrypt a Google Trust Services dodržují Protokol ACME ↗, což vyžaduje umístění jednoho tokenu DCV pro každý hostitelský název na certifikátu.

To znamená, že pokud se rozhodnete používat wildcard vlastní hostitelské názvy, budete potřebovat způsob, jak tyto DCV tokeny sdílet se svým zákazníkem.

Jakmile vytvořte nový hostitelský název a vyberete tuto metodu ověření, vaše tokeny budou po několika sekundách připravené.

Tyto tokeny lze načíst přes API nebo dashboard, pokud jsou certifikáty ve stavu čeká na ověření stavu při vytváření vlastního hostname nebo při obnově certifikátů.

{
  "result": [
    {
      "id": "<HOSTNAME_ID>",
      "hostname": "<HOSTNAME>",
      "ssl": {
        "id": "<CERTIFICATE_ID>",
        "type": "dv",
        "method": "txt",
        "status": "pending_validation",
        "validation_records": [
          {
            "status": "pending",
            "txt_name": "_acme-challenge.<HOSTNAME>",
            "txt_value": "gESljTB8fBT1mIuoEASU0qcK-oTd46baarnU_ZGjJIY"
          },
          {
            "status": "pending",
            "txt_name": "_acme-challenge.<HOSTNAME>",
            "txt_value": "Pd8ViwX8KuA78kLbQHGmdEh4tQSpHBRxiNuJOYStEC0"
          }
        ],
        "settings": {
          "min_tls_version": "1.0"
        },
        "bundle_method": "ubiquitous",
        "wildcard": true,
        "certificate_authority": "google"
      },
      "status": "pending",
      "ownership_verification": {
        "type": "txt",
        "name": "_cf-custom-hostname.<HOSTNAME>",
        "value": "ac4a9a9d-5469-44cb-9d76-cea7541c9ff8"
      },
      "ownership_verification_http": {
        "http_url": "http://<HOSTNAME>/.well-known/cf-custom-hostname-challenge/fabdf93c-a4ce-4075-9f3f-c553a5f93bed",
        "http_body": "ac4a9a9d-5469-44cb-9d76-cea7541c9ff8"
      },
      "created_at": "2022-10-06T19:35:33.143257Z"
    }
  ]
}

Poté budete muset tyto tokeny TXT sdílet se svými zákazníky.

Vaši zákazníci by je měli umístit u svého autoritativního poskytovatele DNS pod "_acme-challenge" DNS štítek. Jakmile budou tyto TXT záznamy zavedeny, ověření a vydání certifikátu se automaticky dokončí.

Pokud chcete vyžádat okamžitou opětovnou kontrolu, namísto čekání na další opakování, odešlete Požadavek PATCH se stejnými hodnotami jako váš původní POST požadavek.

Platnost vašich tokenů DCV vyprší po určitá doba, v závislosti na vaší certifikační autoritě.

To znamená, že pokud vašim zákazníkům bude umístění tokenů u jejich autoritativního poskytovatele DNS trvat příliš dlouho, možná budete muset získejte nové tokeny a znovu je sdílejte se svým zákazníkem.