域名托管(DNS 委托)是给「频繁申请证书」准备的能力:在你的域名 DNS 里配置一条 CNAME 记录,之后每次申请证书的 TXT 验证记录都由系统自动写入,你不再需要碰 DNS。
原理
- 你在平台的「域名托管」页添加域名,系统分配一个专属委托名(形如
xxxx.dns.sslee.cn)。 - 你在自己的 DNS 控制台给域名添加一条 CNAME 记录,把
_acme-challenge指向这个委托名。 - 之后申请证书时,Let's Encrypt 要查的
_acme-challenge.你的域名会沿着 CNAME 找到平台侧记录,TXT 值由系统在申请期间自动写入、校验后清理。
配置一次长期有效,删除托管后申请要改回手动解析。
配置步骤
1. 添加托管
进入控制台的 域名托管页,输入要托管的域名(例如 example.com),点「添加托管」。系统分配委托名并弹出配置指引。
2. 添加 CNAME 记录
按指引在你的 DNS 控制台添加一条记录:
| 字段 | 填什么 |
|---|---|
| 主机记录 | _acme-challenge(控制台域名选 example.com 时);子域托管时按指引的完整名称反推 |
| 完整名称 | _acme-challenge.example.com(不确定就整条照抄) |
| 记录类型 | CNAME |
| 记录值 | 系统分配的委托名,形如 xxxx.dns.sslee.cn |
Cloudflare 用户注意
Cloudflare 上这条 CNAME 的代理状态必须选「仅 DNS」(灰云)。开启代理(橙云)会把主机记录解析成 IP,CNAME 委托链直接失效。
同名冲突
_acme-challenge 主机记录下如果已经有其他解析记录(比如以前手动申请留下的 TXT),要先删掉再加 CNAME,否则委托链不生效。
3. 检测生效
回到托管页点「检测生效」。检测要沿着解析链递归查一遍,耗时几秒。常见不通过原因(检测结论会写在指引弹窗里):
- 主机记录被解析成了 IP 地址 — Cloudflare 代理没关,改「仅 DNS」。
- 该主机记录下已存在其他解析记录 — 删掉同名记录再试。
- 解析尚未生效 — 公共解析还在缓存上一条记录,稍等几分钟再点检测。
托管之后
- 申请证书 时该域名自动走「系统自动解析」,申请页只显示记录名称,等待生效即可。
- 托管列表里可以随时「重新检测」或「删除托管」。删除只是解除委托关系,不删你的任何 DNS 记录。
- 删除托管后再重新添加,拿到的委托名不变,不需要回头重配 CNAME。
覆盖规则(泛域名、二级子域)见 泛域名与子域覆盖。