SSL

增强级(EV)证书验证流程

域名控制权验证方式

CA必须得确认申请者对域名拥有控制权,否则任何一个人都可以把不属于自己的域名拿去申请SSL证书。企业型证书还需要进行额外的电话确认操作。

一、用户自主进行域名验证

1、邮箱验证

有下面几个邮箱可以作为域名验证邮箱:

这些邮箱能够使用的前提是该域名开通了企业邮箱,除了上面几个邮箱,其他邮箱不能用于验证域名控制权,如果以上邮箱均无法使用,可以采用其他验证方式。

2、DNS验证

按要求添加一条指定的DNS记录 ,记录类型是 TXT

举例,申请证书的域名是 certbase.com

登录证书管理中心,找到该证书订单,看到要添加的DNS记录是 :

域名:certbase.com

记录类型:TXT

记录值:6mcm50yyk2svnyxf8zsndfxppn5rmyr4

以万网注册的域名为例,您需要登录域名解析控制面板,添加如下的记录

CA会定时检测该记录,添加记录完成后,通常在1个小时内会完成验证。

3、文件验证

按要求上传指定的验证文件到网站指定的目录下。

如果您选择的是文件验证,请登录证书管理中心,找到该证书订单,下载验证文件,上传到服务器上 ,

举例 :

验证网址 :http://certbase.com/.well-known/pki-validation/fileauth.txt

文件名:fileauth.txt

请上传该文件到域名的网站目录下的 .well-known 目录下的 pki-validation 目录下

如果网站上没有这样的目录,你需要建立这样的目录结构,让后放入验证文件,确认通过上面的验证网址能够打开这个文件。

提示:.well-known 是以点号开头的目录名称,windows 操作系统可以通过命令 mkdir .well-known 建立该目录

二、认证机构通过电话确认订单信息

确认是否为该公司申请的证书,会核对公司信息以及联系人信息,如果不是拒绝签发

证书机构必须通过电话联系到组织的联系人,以确认该联系人系该组织的员工,以及该申请的确是出自该联系人。可使用的电话号码,必须是获得独立验证的(第三方)的号码,此类资源包括:

公司网站电话号码。 企查查上经过认证的电话号码。 通过企业上一年工商年报中查询到的号码。 通过114(或者118114、116114等)查号服务,查询到的企业的电话号码。
DUNS报告中记录的企业电话号码。 百度地图中可以查询到的企业电话号码。 企业的公共事业费账单(电话、水电、有线电视等)。