CERTBOTX / 证书知识库

方案对比

按使用场景比较证书、验证方式和部署方案。阅读相关 SSL/TLS 实战文章，了解前置条件、操作步骤与验证方法，并结合免费检测工具检查实际结果。

11 篇 · 1 / 1 页

域名不能开 80 端口时，DNS-01 和 HTTP-01 到底怎么选

很多团队纠结证书验证方式，其实答案取决于场景：要通配符证书、80 端口被封、或源站藏在 CDN 后面时，HTTP-01 往往走不通。本文按实际部署条件对比 DNS-01 与 HTTP-01 的取舍，并说明自动化续期时的关…

HTTP-01 和 DNS-01 都能完成 ACME 域名验证，但在泛域名证书、CDN 前置和多机部署场景下取舍完全不同。本文结合常见故障现场，说明两种验证方式的边界、小坑和选择依据。

HTTP-01 和 DNS-01 都能拿到 Let's Encrypt 证书，但在自动化续期、通配符证书和负载均衡后端环境里，两者的坑完全不同。本文按实际部署场景拆解取舍，帮你选出能在凌晨两点不出事的那个。

HTTP-01 简单直接但签不了通配符，DNS-01 能签通配符却要求动 DNS。本文按实际场景拆开两种 ACME 验证方式的边界、常见坑和自动化思路，帮你按域名结构选对验证方式。

同样是 ACME 验证域名控制权，HTTP-01 和 DNS-01 在通配符支持、多机部署、内网服务和防火墙限制上差别很大。本文按实际场景拆解两者的取舍和常见坑。

HTTP-01 和 DNS-01 都能完成 ACME 域名验证，但在端口受限、多机部署、通配符证书等场景下取舍完全不同。本文按实际运维条件拆开比较，并说明 DNS-01 配合 CNAME 委托如何降低自动化门槛。

内部 *.svc.example.internal 这类泛域名证书，常见两条路：自己维护一个私有 CA，或者用公共 CA 走 DNS-01 委托验证。两条路在信任链、续期自动化和边界条件上差别很大，按场景拆开比较。

HTTP-01 依赖 80 端口回源验证，DNS-01 走 TXT 记录。在多节点、CDN 前置、泛域名和内网环境下两者取舍完全不同。本文按现场场景拆开比较，给出明确的选择依据。

手上有一堆子域名要签发证书时，通配符和 SAN 多域名证书都能解决问题，但在验证方式、变更成本和安全边界上差别明显。本文按实际运维场景拆开比较两者的取舍，并说明 CertbotX 中的落地方式。

子域名多起来之后，运维常纠结：给每个域名单独签证书，还是直接上一张通配符证书。本文从验证方式、泄露影响面、续期自动化和证书透明度日志等角度，比较两种做法在真实场景下的取舍。

当服务器不对外开放 80 端口时，HTTP-01 验证无法完成，DNS-01 成为主要选择。本文在“证书签发者无法直接操作主域 DNS”的场景下，比较直接 DNS-01 与 CNAME 委托 DNS-01 的取舍，并给出…