Proces walidacji certyfikatów SSL

Zanim certyfikat zostanie wydany, urząd certyfikacji musi się upewnić, że domena należy do zamawiającego. Ta weryfikacja nazywa się walidacją domeny (Domain Control Validation, DCV) i bez niej certyfikat nie powstanie. Wszystkie certyfikaty, które sprzedajemy, sprawdzane są wyłącznie w ten sposób: bez dokumentów papierowych, faksów i telefonów.

Strona opisuje zasady obowiązujące na 17 września 2026 roku dla certyfikatów Sectigo i RapidSSL.

Co dokładnie sprawdza urząd certyfikacji

Sprawdzana jest kontrola nad domeną, a nie tożsamość właściciela: urząd upewnia się, że zamawiający dysponuje domeną — jej pocztą, stroną albo strefą DNS. Danych firmy w takim certyfikacie nie ma i być nie powinno.

Zwykły certyfikat wydawany jest na nazwę strony i jej wersję z www, Wildcard — na domenę i wszystkie subdomeny pierwszego poziomu. Potwierdzać trzeba domenę główną: każdej subdomeny osobno nie potwierdzasz.

Trzy sposoby potwierdzenia domeny

Sposób wybierasz przy zamówieniu. Wszystkie trzy są dla urzędu równorzędne — różnica polega tylko na tym, do czego masz dostęp.

E-mail na adres służbowy

Urząd wysyła wiadomość na jeden z adresów służbowych Twojej domeny: admin@, administrator@, hostmaster@, postmaster@, webmaster@. W liście są link i kod weryfikacyjny: wystarczy wejść w link i wpisać kod, i domena jest potwierdzona.

Ten sposób pasuje, gdy w domenie działa skrzynka, którą czytasz. Dawniej wiadomość szła na adres z Whois i dlatego wymagano odsłonięcia ukrytych danych; dziś adres do weryfikacji wskazuje osobny wpis DNS _validation-contactemail, a ukryty Whois niczemu nie przeszkadza.

Plik na stronie

Urząd podaje nazwę pliku i jego treść, a plik trafia na stronę do katalogu .well-known/pki-validation/ w katalogu głównym. Robot weryfikujący wchodzi na adres domeny na port 80 albo 443 i odczytuje plik.

Ten sposób pasuje, gdy strona już działa i możesz wgrać do niej plik. Dla Wildcard się nie nadaje — tak wymagają zasady branżowe, a nie ustawienia konkretnego urzędu.

Wpis w DNS

Urząd podaje wpis CNAME albo TXT, który dodajesz do strefy domeny. Nie jest potrzebna ani strona, ani poczta — wystarczy dostęp do DNS.

To jedyny sposób, który działa zawsze: domena może jeszcze nie mieć strony, a certyfikat być przeznaczony dla routera albo usługi wewnętrznej. Dla Wildcard weryfikacja przez DNS jest drogą podstawową.

Ile to trwa

Wiadomość przychodzi w ciągu kilku minut. Plik sprawdzany jest zaraz po wgraniu. Wpis DNS — gdy się rozejdzie: zwykle są to minuty, ale zależy to od TTL strefy i od dostawcy. Po udanej weryfikacji certyfikat wydawany jest automatycznie, również w kilka minut.

Dlaczego walidację trzeba powtarzać

Czas życia publicznych certyfikatów TLS jest skracany według harmonogramu przyjętego przez CA/Browser Forum (głosowanie SC-081v3). Obowiązuje już pierwszy stopień:

• od 15 marca 2026 — certyfikat nie dłużej niż 200 dni, a wynik weryfikacji domeny ważny jest te same 200 dni;
• od 15 marca 2027 — 100 dni i 100 dni;
• od 15 marca 2029 — 47 dni dla certyfikatu i 10 dni dla weryfikacji domeny.

Stąd praktyczny wniosek: usługę zamawia się na rok, ale plik certyfikatu zmienia się w tym czasie dwa razy. Dopóki poprzednia weryfikacja jest aktualna, ponowne wydanie odbywa się bez Twojego udziału; gdy się przeterminuje — domenę trzeba potwierdzić od nowa.

Jeśli nie masz stałego dostępu do poczty w domenie, potwierdź ją wpisem w DNS i zostaw ten wpis w strefie. Wtedy kolejna weryfikacja przebiegnie sama.

Gdy weryfikacja się nie udaje

• Wpis CAA. Jeśli w strefie domeny są wpisy CAA, musi w nich być dopuszczony właściwy urząd: sectigo.com dla certyfikatów Sectigo, digicert.com dla RapidSSL. Inaczej wydanie zostanie odrzucone, niezależnie od tego, jak potwierdzisz domenę.
• Wiadomość nie dotarła. Skrzynka służbowa nie istnieje, list trafił do spamu albo wybrany został adres, którego w domenie nie ma.
• Plik nie daje się odczytać. Ścieżka musi być dokładna co do znaku, nazwa pliku niezmieniona, a domena nie może odsyłać robota przekierowaniem na inną domenę.
• Wpisu DNS nie widać. Nie rozszedł się, trafił na niewłaściwy host albo został skopiowany ze zbędnymi cudzysłowami i spacjami.
• Domena dopiero co zarejestrowana lub zmieniła właściciela. Dane strefy mogły się jeszcze nie zaktualizować — warto powtórzyć weryfikację później.

Weryfikacja firmy i weryfikacja rozszerzona

Poza weryfikacją domeny istnieją weryfikacja firmy (OV) i rozszerzona (EV): do sprawdzenia domeny dochodzą dokumenty organizacji i telefon weryfikacyjny, a wydanie trwa kilka dni roboczych. Takich certyfikatów nie sprzedajemy.

Widocznej korzyści nie dają od lat: zielony pasek z nazwą firmy przeglądarki usunęły jeszcze w 2019 roku — Chrome w wersji 77, Firefox w 70. Nazwa organizacji została tylko we właściwościach certyfikatu, do których odwiedzający nie zagląda. Szyfrowanie, zgodność i niezawodność w ogóle nie zależą od rodzaju weryfikacji.

Jeśli taki certyfikat jest Ci potrzebny na żądanie kontrahenta albo regulatora — napisz do nas, zastanowimy się, jak pomóc.