ACME 的 HTTP 验证和 DNS 验证，哪种更适合自动续期？

证书有效期越来越短自动续期成了刚需。ACME 协议里最常见的两种域名验证方式——HTTP-01 和 DNS-01——都能自动申请证书但适合的场景完全不同。一、HTTP-01 验证简单但有限制CA 机构会生成一段专属随机校验串你将其放置到网站预设目录CA 主动访问校验无误后即可下发证书。该方式适配单域名公网服务器配置简单数分钟就能完成验证。优点配置简单无需改 DNS主流服务器都支持。限制必须开放 80 端口不支持通配符证书内网和 CDN 后面经常跑不通。二、DNS-01 验证灵活但需要 DNS 控制权你在 DNS 服务商添加一条 TXT 记录CA 通过 DNS 查询确认你拥有域名。无需访问业务服务器仅需域名 DNS 支持外网正常解析即可完成验证。优点支持通配符不需要开放服务器端口适合内网、CDN、负载均衡后面。挑战需要 DNS 服务商 API 权限要妥善保管 API 密钥DNS 记录传播有时延。怎么选看图就行四、DNS-01 的注意事项1. API 密钥最小权限只给读写 DNS 记录的权限。2. 密钥安全存放用环境变量或密钥管理服务不要写死在脚本里。3. 留足传播时间DNS 生效需要时间TTL 设置过长会拖慢验证。五、GlobalSign 的自动化支持GlobalSign 的 Atlas 平台提供 ACME 接口可用标准 ACME 客户端实现自动发证和续期。此外证书自动化管理器兼容 ACME、SCEP 协议支持对接 Active Directory 与 Entra ID自动注册网关AEG可将证书下发范围拓展至非 Windows 设备、移动终端及 IoT 设备。HTTP-01 验证流程简洁直观适配常规公网业务场景DNS-01 灵活性更强申请通配符证书、复杂网络架构场景优先选用。随着证书有效期压缩到 47 天选对验证方式并搭配自动化工具才能让证书续期不再成为负担。