DNS-01

DNS-01 — механизм ACME-проверки, подтверждающий контроль над доменным именем через TXT-запись с именем _acme-challenge. Сервер ACME получает эту запись через DNS и сравнивает опубликованное значение с ожидаемым — закодированным в base64url SHA-256-хешем связки токена проверки и отпечатка открытого ключа учётной записи ACME. Для автоматизации требуются учётные данные или API, позволяющие изменять DNS-зону, либо делегирование поддомена _acme-challenge. Следует учитывать время распространения изменений DNS, TTL, наличие нескольких авторитетных серверов и ограничения DNS-провайдера на создание TXT-записей. Метод используют для выпуска wildcard-сертификатов, сертификатов для внутренних сервисов с публично управляемой зоной и случаев, когда порт 80 недоступен извне. Доступность веб-сервера при такой проверке не требуется. DNS-01 отличается от HTTP-01 каналом подтверждения: проверяется DNS-запись, а не файл по HTTP. TXT-запись служит доказательством контроля зоны для конкретной заявки и не является записью, задающей политику SPF, DKIM или DMARC.