Metody weryfikacji prawa do domeny

Wydanie publicznie zaufanego certyfikatu SSL/TLS wymaga potwierdzenia kontroli nad każdą domeną objętą certyfikatem. Proces ten nazywany jest Domain Control Validation (DCV). W zależności od rodzaju certyfikatu i konfiguracji domeny zamawiający może wybrać jedną z czterech dostępnych metod weryfikacji:

1. Wiadomość e-mail z linkiem autoryzującym (wysyłana na wskazany adres administracyjny)
2. Stały wpis w rekordzie DNS TXT (Persistent DNS TXT)
3. Wpis w rekordzie DNS TXT
4. Wpis w rekordzie DNS CNAME
5. Zamieszczenie pliku autoryzującego na serwerze

Jak długo ważna jest weryfikacja domeny?

Okres, przez który można ponownie wykorzystać wcześniejszą weryfikację kontroli nad domeną, jest sukcesywnie skracany. Dla certyfikatów OV i EV od 2026 roku wynosi maksymalnie 199 dni, od marca 2027 roku zostanie skrócony do 99 dni, a od marca 2029 roku do 9 dni. Certyfikaty DV wymagają przeprowadzenia DCV dla każdego nowego zamówienia.

Wiadomość e-mail z linkiem autoryzującym

Weryfikacja e-mail polega na wysłaniu przez DigiCert wiadomości autoryzacyjnej na zatwierdzony adres związany z domeną. Można wykorzystać standardowy adres administracyjny domeny lub kontakt wskazany w odpowiednim rekordzie DNS TXT albo CAA. Adresy pobierane z danych WHOIS od 8 maja 2025 r. nie są już wykorzystywane przez DigiCert do DCV. Zgodnie z regulacjami CA/B Forum, poprzez skrzynkę administracyjną domeny twojadomena.pl należy rozumieć dowolny z poniższych adresów:

• admin@twojadomena.pl
• administrator@twojadomena.pl
• postmaster@twojadomena.pl
• webmaster@twojadomena.pl
• hostmaster@twojadomena.pl

Jak przebiega weryfikacja za pomocą wiadomości e-mail?

1. Na wskazane podczas składania zamówienia konto administracyjne wystawca certyfikatu SSL wyśle wiadomość z linkiem autoryzującym.
2. Wiadomość zostanie nadana z konta e-mail wybranego wystawcy:
   • dla certyfikatów RapidSSL będzie to adres no-reply@rapidssl.com
   • dla certyfikatów Thawte będzie to adres no-reply@thawte.com
   • dla certyfikatów GeoTrust będzie to adres no-reply@geotrust.com
3. W temacie wiadomości znajdzie się następująca informacja:
   [Action Required] Approve Certificate Request for twojadomena.pl (Order #numer-zamówienia)
4. Po kliknięciu w link autoryzujący znajdujący się w treści maila, wyświetlona zostanie strona internetowa zawierająca prośbę o potwierdzenie walidacji (rys. 1).
5. W celu zakończenia procedury weryfikacji należy zapoznać się z widocznymi na stronie postanowieniami i kliknąć znajdujący się pod tekstem przycisk Approve Request (rys. 2).

Rys. 1 - Przykładowa wiadomość dotycząca certyfikatu RapidSSL

Rys. 2 - Strona wyświetlana po kliknięciu linku weryfikacyjnego dla certyfikatu RapidSSL

Stały wpis w rekordzie DNS TXT (Persistent DNS TXT)

DigiCert umożliwia wykorzystanie stałego rekordu DNS TXT do kolejnych weryfikacji kontroli nad domeną. Metoda Persistent DNS TXT jest szczególnie przydatna w środowiskach, w których certyfikaty są regularnie odnawiane lub ponownie wydawane, ponieważ ogranicza konieczność wielokrotnego ręcznego publikowania nowego rekordu przy każdym procesie DCV. Więcej informacji o Persistent DNS TXT znajdziesz TUTAJ.

Jak przebiega weryfikacja za pomocą stałego wpisu w rekordzie TXT?

1. Po złożeniu zamówienia otrzymasz od SSL24 wiadomość e-mail z prośbą o sfinalizowanie procesu weryfikacji domeny
2. Skopiuj token autoryzujący znajdujący się w otrzymanej wiadomości
3. W strefie DNS domeny utwórz rekord TXT _validation-persist.twojadomena.pl. lub _validation-persist
4. Wklej token autoryzujący jako wartość rekordu TXT

Przykładowy wpis dla domeny twojadomena.pl dla serwera BIND musi być zgodny z poniższym wzorem:

Po zapisaniu strefy należy zwiększyć numer SOA zgodnie z przyjętą procedurą, przeładować konfigurację serwera autorytatywnego i sprawdzić, czy rekord jest publicznie widoczny: za pomocą narzędzia https://toolbox.googleapps.com/apps/dig/#TXT/ lub przy wykorzystaniu komendy dig:

Wynik wywołania powyższej komendy będzie wyglądał następująco:

Wpis w rekordzie DNS TXT

Skorzystanie z tej metody weryfikacji polega na dodaniu rekordu TXT do ustawień DNS Twojej domeny.

Jak przebiega weryfikacja za pomocą wpisu w rekordzie TXT?

1. Po złożeniu zamówienia otrzymasz od SSL24 wiadomość e-mail z prośbą o sfinalizowanie procesu weryfikacji domeny
2. Skopiuj token autoryzujący znajdujący się w otrzymanej wiadomości
3. Utwórz rekord TXT w strefie DNS domeny, którą chcesz zabezpieczyć certyfikatem SSL
4. Wklej token autoryzujący jako wartość rekordu TXT

Przykładowy wpis dla domeny twojadomena.pl dla serwera BIND wygląda następująco:

Poprawność utworzonego rekordu TXT można sprawdzić korzystając z narzędzia udostępnianego przez firmę Google pod adresem: https://toolbox.googleapps.com/apps/dig/#TXT/ lub przy wykorzystaniu komendy host:

Wynik wywołania powyższej komendy będzie wyglądał następująco:

Wpis w rekordzie DNS CNAME

Skorzystanie z tej metody weryfikacji polega na dodaniu rekordu CNAME do ustawień DNS Twojej domeny.

Jak przebiega weryfikacja za pomocą wpisu w rekordzie CNAME?

1. Po złożeniu zamówienia otrzymasz od SSL24 wiadomość e-mail z prośbą o sfinalizowanie procesu weryfikacji domeny
2. Skopiuj token autoryzujący znajdujący się w otrzymanej wiadomości
3. Utwórz rekord CNAME w strefie DNS domeny, którą chcesz zabezpieczyć certyfikatem SSL
4. Jako nazwę hosta wprowadź: _dnsauth.twojadomena.pl
5. W polu hosta docelowego wprowadź: token autoryzujący

Przykładowy wpis dla domeny twojadomena.pl i tokena autoryzującego _012ovx51yj6x6a38dzocr3wuqyqo6.dcv.digicert.com dla serwera BIND wygląda następująco:

Poprawność utworzonego rekordu CNAME można sprawdzić korzystając z narzędzia udostępnianego przez firmę Google pod adresem: https://toolbox.googleapps.com/apps/dig/#CNAME/ lub przy wykorzystaniu komendy host:

Wynik wywołania powyższej komendy będzie wyglądał następująco:

Zamieszczenie pliku autoryzującego na serwerze

Skorzystanie z tej metody weryfikacji polega na zamieszczeniu pliku autoryzującego na serwerze odpowiedzialnym za hosting serwisu internetowego.

Jak przebiega weryfikacja za pomocą pliku na serwerze?

1. Po złożeniu zamówienia otrzymasz od SSL24 wiadomość e-mail z prośbą o sfinalizowanie procesu weryfikacji domeny.
2. Skopiuj token autoryzujący znajdujący się w otrzymanej wiadomości.
3. Uzyskaj dostęp do serwera, na którym znajduje się Twoja strona internetowa.
   
   
   
   
4. Na serwerze w katalogu głównym Twojej domeny (np. twojadomena.pl) załóż katalog wraz z podkatalogiem: .well-known/pki-validation/
   
   
   
   
5. W nowoutworzonej lokalizacji zapisz plik TXT pod nazwą fileauth.txt
   
   
   
   
6. W treści pliku wklej token autoryzujący otrzymany w wiadomości e-mail od SSL24.
   
   
   
   
7. Zawartość tak utworzonego pliku można bez problemu zweryfikować z poziomu dowolnej przeglądarki internetowej, podając w pasku pełny adres, np. http://twojadomena.pl/.well-known/pki-validation/fileauth.txt