概要: ドメイン制御検証 (DCV) は、SSL が SSL を発行する前に必要な手順です。TLSマーク、そして特定の状況下では、 S/MIME 証明書。ただし、設定ミス、ネットワーク制限、伝播遅延などにより、処理が停止する可能性があります。
このガイドでは、メール、HTTPファイルアップロード、CNAME、DNS TXTなど、サポートされているすべての認証方法で検証が失敗する最も一般的な原因を順を追って説明し、それぞれの解決手順を具体的に示します。制限的なCAAレコードや有効期限切れのトークンなど、あまり一般的ではない原因についても解説します。
SSL証明書を発行するには、保護対象となるドメインの所有権を証明する必要があります。このプロセスはドメイン制御検証（DCV）と呼ばれます。この検証が適切に行われない場合、証明書の発行は停止し、注文は保留状態となります。
このガイドでは、サポートされている各検証方法において、DCVが失敗する理由、確認すべき点、そして具体的な解決方法について説明します。
DCVが失敗する理由：簡単な概要
DCVの故障は、使用する方式に関わらず、大きくいくつかのカテゴリーに分類されます。
- 検証トークン、ファイル、またはレコードが間違っているか、見つからないか、アクセスできません。
- ネットワーク構成（ファイアウォール、CDN、リダイレクト）がSSLの自動チェックをブロックしています
- DNSの変更はまだ反映されていません
- 検証期間が過ぎたため、チェックが成功しませんでした。
以下の各セクションでは、それぞれの方法について個別に説明します。
メールアドレス検証エラー
仕組み
メール検証を選択すると、SSL はワンタイムコードと確認リンクを含むメッセージをドメインの事前承認済みアドレスのいずれかに送信します (例: admin @, 管理者@, ウェブマスター@, hostmaster @または postmaster @).
メールアドレスの検証が失敗する一般的な理由
選択されたメールボックスは存在しません。 これが最も一般的な原因です。一般的なアドレス admin @ or ウェブマスター@ これらのアドレスは、すべてのホスティングプロバイダーで自動的に作成されるわけではありません。チェックアウト時にこれらのアドレスのいずれかを選択したが、設定したことがない場合、メッセージの送信先がありません。
そのメールはスパムとしてフィルタリングされました。 セキュリティゲートウェイやスパムフィルターは、認証局からの自動送信メールを隔離することがあります。メールが送信されていないと決めつける前に、スパムフォルダ、迷惑メールフォルダ、隔離フォルダを確認してください。
確認リンクの有効期限が切れました。 認証リンクには有効期限があります。指定された期間内に確認を完了しなかった場合、リンクは無効になります。
誤った住所が選択されました。 組織がDNS CAAレコードまたはTXTレコードを介して登録されたカスタム連絡先メールアドレスを使用している場合は、そのレコードが正しく設定されており、アドレスにアクセス可能であることを確認してください。
修正方法
- SSLアカウントにログインし、注文に移動してクリックします。 検証を実行.
- 表示されているアドレスがアクセス可能なアドレスであることを確認してください。アクセスできない場合は、別の承認済みアドレスに再送信するオプションを使用するか、DNSまたはHTTPベースの方法に切り替えてください。
- 再送信後、受信トレイと迷惑メールフォルダの両方を確認してください。
- メールを受け取ったら、リンクをクリックして認証コードを速やかに入力してください。送信する前に確認ページを閉じないでください。
HTTPファイル検証エラー
仕組み
HTTPファイル検証では、SSLポータルから小さなテキストファイルをダウンロードし、Webサーバー上の特定のパスにアップロードします。すると、SSLの自動システムがHTTPポート80またはHTTPSポート443経由でそのファイルの取得を試みます。
HTTPファイル検証が失敗する一般的な理由
ファイルが間違ったディレクトリに配置されています。 ファイルは以下の場所からアクセスできる必要があります。
http://yourdomain.com/.well-known/pki-validation/[MD5_hash].txt
よくある間違いは、ファイルをサイトのルートディレクトリまたは別のサブディレクトリにアップロードすることです。 .well-known/pki-validation/ パスは必須であり、正確でなければなりません。
ファイルの内容が間違っています。 テキストファイルには、SHA-256ハッシュが含まれている必要があります。 CSR 最初の行に続いて、 ssl.com 2行目には、3行目には固有のトークンが記述されています。ファイルを編集したり、余分なスペースを追加したり、間違ったエンコードで保存したりすると、チェックが失敗します。
リダイレクトによってアクセスがブロックされています。 多くのサイトはすべてのHTTPトラフィックをHTTPSにリダイレクトするか、ルートドメインを WWW サブドメイン。SSLのチェックは標準的なHTTPリダイレクトに従いますが、一部のリダイレクトチェーン（特に非標準ポートや認証ウォールを含むもの）ではルックアップが失敗する可能性があります。サイトが強制的にリダイレクトを行う場合は、最終的な宛先URLでファイルにアクセスできることを確認してください。
CDNまたはWAFがリクエストを傍受しています。 コンテンツ配信ネットワークとウェブアプリケーションファイアウォールは、見慣れないパスへのリクエストをブロックまたはキャッシュする可能性があります。Cloudflare、Fastly、または同様のサービスを使用している場合は、アクセスを妨げるルールがないことを確認してください。 /.well-known/pki-validation/ パスを指定するか、そのパスに対して一時的にCDNをパススルーモードに設定します。
サーバーはブロックするように設定されています 。TXT ファイルまたは .well知られています ディレクトリにあります。 サーバーの設定によっては、隠しディレクトリ（ドットで始まるディレクトリ）への直接アクセスが禁止されている場合があります。 .htaccess ファイルまたはサーバーの設定により、パスが認証なしで一般公開されるようにします。
このドメインは一般公開されていません。 サーバーがプライベートネットワーク上にある場合、または外部接続をブロックするファイアウォールの内側にある場合、SSLの自動チェックではサーバーに到達できません。この場合、DNSまたはメールによる検証が適切な方法です。
修正方法
- ご注文のDCVファイルをダウンロードしてください。 検証を実行 ページで見やすくするために変数を解析したりすることができます。
- ダウンロードしたとおりにアップロードしてください。 /.well-known/pki-validation/ あなたのウェブサーバー上で。
- 再チェックを依頼する前に、ファイルURL全体をブラウザに貼り付けるか、 curl ファイルが返されることを確認するには 200 OK 回答と正しい内容。
- リダイレクトが表示された場合は、そのリダイレクトをたどって最終URLにアクセスし、そこでファイルの内容が破損していないことを確認してください。
- ファイルへのアクセスが確認されたら、SSLポータルに戻り、検証チェックを実行してください。
CNAME DNS検証エラー
仕組み
CNAME DNS検証では、ドメインのDNSゾーンに特定のCNAMEレコードを追加する必要があります。このレコードは、ドメインのMD5およびSHA-256ハッシュを使用します。 CSR その名前とランダムな値を指し、 ssl.com
CNAME検証が失敗する一般的な理由
記録に誤植があります。 ハッシュ値は長い文字列であり、入力ミスが発生しやすい。たった1文字でも間違っていると、SSLが求める形式と一致しないことになる。
DNS伝播が完了していません。 DNSの変更は即座に反映されるわけではありません。DNSゾーンに設定されているTTL（有効期限）にもよりますが、新しいレコードが世界中のすべてのリゾルバで確認できるようになるまでには、通常数分から48時間かかります。SSLのチェックでは、複数のネットワークポイントからレコードを確認できる必要があります。
記録が誤ったレベルに追加されました。 CNAMEレコードは、検証対象ドメインのサブドメインとして作成する必要があります。誤ったゾーンに配置したり、ホスト名の形式が間違っていたりすると、ルックアップが失敗します。
既存のCNAME競合。 同じホスト名に対して既にCNAMEレコードが存在する場合、一部のDNSプロバイダは新しいエントリを拒否するか、既存のレコードを暗黙的に上書きします。レコードを追加した後、正しく保存されたことを確認してください。
修正方法
- CNAME名と値は、再入力するのではなく、SSLポータルから直接コピーしてください。
- レコードを保存した後、DNSルックアップツール（例： dig またはオンラインのDNSチェッカーを使用して、検証を要求する前にレコードが正しく解決されていることを確認します。
- 伝播処理がまだ進行中の場合は、しばらく待ってから再度確認してください。ほとんどのデータは数時間以内に伝播しますが、完全に反映されるまでには最大48時間かかる場合があります。
- 記録が有効であることが確認されたら、注文画面に戻り、検証チェックを実行してください。
DNS TXT検証エラー
DNS TXT検証は、CNAME検証と同じ原理に基づいています。最も一般的な失敗箇所は共通しており、レコード値の入力ミス、伝播の遅延、レコードが誤ったDNSゾーンに配置されていることなどが挙げられます。診断手順も同様です。再確認を依頼する前に、レコードが存在し、正しく解決されることを確認してください。
すべての方法における、あまり一般的ではない原因
CAAは発行を阻止したと記録している。 ドメインにCAA（認証局承認）レコードがある場合は、明示的に許可する必要があります。 ssl.com 証明書を発行するには、他の認証局（CA）のみをリストしたCAAレコードが存在すると、DCVが完了した後でも証明書の発行が失敗します。DNSゾーンに既存のCAAレコードがないか確認し、必要に応じて追加または更新してください。
注文トークンの有効期限が切れました。 検証トークンには有効期限があります。注文が長期間保留状態となり、確認が完了していない場合、トークンの再生成が必要になることがあります。アカウントにログインし、検証リクエストを再送信して、新しい値を取得してください。
管理していないドメインを検証する。 クライアントまたは第三者に代わってドメインを検証する場合は、必要なメールアドレス、DNSレコード、またはサーバーディレクトリへのアクセス権限が付与されていることを確認してください。ドメインのインフラストラクチャへの何らかのアクセス権限がなければ、ドメイン検証（DCV）は完了できません。
まだ問題がありますか?
上記の手順をすべて実行しても検証が完了しない場合は、SSLサポートチームがお手伝いいたします。ライブチャットまたはメールでお問い合わせください。 Support@SSL.comお問い合わせいただく際は、ご注文番号とご利用の認証方法を事前にご準備いただけると、問題をより迅速に解決できます。
SSLのDCV要件と受け入れられるレコード形式の詳細については、以下を参照してください。 SSL /TLS 証明書ドメイン検証要件.
