← Cloudflare for Platforms / cloudflare-for-platforms / cloudflare-for-saas / security / certificate-management / issue-and-validate / validate-certificates

TXT

Проверка с помощью TXT-записи требует создания TXT-записи в авторитативной DNS-зоне имени хоста.

Вы выбираете один метод проверки сертификата, когда создайте пользовательское имя хоста. API принимает одно ssl.method значение: http, txt, или email.

Как правило, следует использовать DCV на основе TXT, если нельзя использовать Проверка HTTP или Делегированная DCV, или когда вам нужно, чтобы сертификат был активен ещё до того, как клиент изменит DNS.

Если ваше пользовательское имя хоста не содержит подстановочного знака, Cloudflare всегда пытается завершить DCV через Проверка HTTP после того как имя хоста начинает указывать на вашу SaaS-цель, даже если вы выбрали TXT для вашего метода проверки.

Эта проверка HTTP должна пройти успешно, если имя хоста вашего клиента указывает на вашу цель SaaS и у него нет никаких CAA-записи который блокирует выбранный вами центр сертификации.

Эта автоматическая попытка HTTP не означает, что API Create Custom Hostname принимает в одном запросе оба метода проверки, HTTP и TXT. ssl.method поле принимает одно значение.

Чтобы подтвердить сертификат для подстановочного пользовательского имени хоста, настройте либо Делегированная DCV или DCV на основе TXT.

Cloudflare рекомендует Delegated DCV, так как этот способ значительно проще для вас и ваших клиентов.

Если вы выберете DCV на основе TXT, для выпуска или обновления wildcard-сертификата Cloudflare потребует разместить у авторитативного поставщика DNS вашего клиента два токена TXT DCV: один для корневого домена и один для подстановочного домена.

Оба этих токена требуются, поскольку Let’s Encrypt и Google Trust Services следуют Протокол ACME ↗, для которого нужно разместить один токен DCV для каждого имени хоста в сертификате.

Это значит, что если вы решите использовать подстановочные пользовательские имена хостов, вам потребуется способ передавать эти токены DCV своему клиенту.

После того как вы создайте новое имя хоста и выберете этот метод проверки, ваши токены будут готовы через несколько секунд.

Эти токены можно получить через API или панель управления, когда сертификаты находятся в ожидает проверки статус во время создания пользовательского имени хоста или во время продления сертификата.

{
  "result": [
    {
      "id": "<HOSTNAME_ID>",
      "hostname": "<HOSTNAME>",
      "ssl": {
        "id": "<CERTIFICATE_ID>",
        "type": "dv",
        "method": "txt",
        "status": "pending_validation",
        "validation_records": [
          {
            "status": "pending",
            "txt_name": "_acme-challenge.<HOSTNAME>",
            "txt_value": "gESljTB8fBT1mIuoEASU0qcK-oTd46baarnU_ZGjJIY"
          },
          {
            "status": "pending",
            "txt_name": "_acme-challenge.<HOSTNAME>",
            "txt_value": "Pd8ViwX8KuA78kLbQHGmdEh4tQSpHBRxiNuJOYStEC0"
          }
        ],
        "settings": {
          "min_tls_version": "1.0"
        },
        "bundle_method": "ubiquitous",
        "wildcard": true,
        "certificate_authority": "google"
      },
      "status": "pending",
      "ownership_verification": {
        "type": "txt",
        "name": "_cf-custom-hostname.<HOSTNAME>",
        "value": "ac4a9a9d-5469-44cb-9d76-cea7541c9ff8"
      },
      "ownership_verification_http": {
        "http_url": "http://<HOSTNAME>/.well-known/cf-custom-hostname-challenge/fabdf93c-a4ce-4075-9f3f-c553a5f93bed",
        "http_body": "ac4a9a9d-5469-44cb-9d76-cea7541c9ff8"
      },
      "created_at": "2022-10-06T19:35:33.143257Z"
    }
  ]
}

Затем вам нужно будет поделиться этими TXT-токенами со своими клиентами.

Вашим клиентам следует размещать их у своего авторитетного DNS-провайдера в разделе "_acme-challenge" DNS-метка. Как только эти TXT-записи будут добавлены, проверка и выпуск сертификата завершатся автоматически.

Если вы хотите запросить немедленную повторную проверку, не дожидаясь следующей попытки, отправьте Запрос PATCH с теми же значениями, что и ваш исходный POST запрос.

Срок действия ваших токенов DCV истекает через определённое время, в зависимости от вашего центра сертификации.

Это значит, что если вашим клиентам требуется слишком много времени, чтобы разместить свои токены у авторитетного DNS-провайдера, вам, возможно, придётся получите новые токены и снова поделитесь ими со своим клиентом.