Процесс валидации для SSL-сертификатов

Перед выпуском сертификата центр сертификации обязан убедиться, что домен принадлежит заказчику. Эта проверка называется валидацией домена (Domain Control Validation, DCV), и без неё сертификат не выпустят. Все сертификаты, которые мы продаём, проверяются только так: бумажных документов, факсов и звонков не требуется.

Страница описывает порядок, действующий на 17 сентября 2026 года, для сертификатов Sectigo и RapidSSL.

Что именно проверяет центр сертификации

Проверяется контроль над доменом, а не личность владельца: центр убеждается, что заказчик распоряжается доменом — его почтой, сайтом или зоной DNS. Сведений о компании в таком сертификате нет и быть не должно.

Обычный сертификат выпускается на имя сайта и его версию с www, Wildcard — на домен и все поддомены первого уровня. Проверять нужно основной домен: подтверждать каждый поддомен отдельно не требуется.

Три способа подтвердить домен

Способ выбирается при заказе. Все три равноценны для центра сертификации — разница только в том, к чему у вас есть доступ.

Письмо на служебный адрес

Центр отправляет письмо на один из служебных адресов вашего домена: admin@, administrator@, hostmaster@, postmaster@, webmaster@. В письме ссылка и проверочный код: перейти по ссылке, ввести код — домен подтверждён.

Подходит, если на домене заведена почта и вы её читаете. Прежде письмо можно было отправить на адрес из Whois, поэтому от заказчика требовали открыть скрытые данные; сейчас адрес для проверки задаётся отдельной DNS-записью _validation-contactemail, и скрытый Whois проверке не мешает.

Файл на сайте

Центр выдаёт имя файла и его содержимое, файл кладётся на сайт в каталог .well-known/pki-validation/ в корне документов. Проверяющий робот приходит по адресу домена на порт 80 или 443 и читает файл.

Подходит, если сайт уже работает и вы можете положить в него файл. Для Wildcard этот способ не годится — так требуют отраслевые правила, а не настройки конкретного центра.

Запись в DNS

Центр выдаёт запись CNAME или TXT, которая добавляется в зону домена. Ни сайт, ни почта для этого не нужны — достаточно доступа к DNS.

Это единственный способ, который работает всегда: домен может быть ещё без сайта, а сертификат — предназначаться маршрутизатору или внутреннему сервису. Для Wildcard проверка через DNS — основной путь.

Сколько это занимает

Письмо приходит за минуты. Файл проверяется сразу после выкладки. Запись DNS — как только она разойдётся: обычно это минуты, но зависит от TTL зоны и провайдера. После успешной проверки сертификат выпускается автоматически, тоже за минуты.

Почему проверку приходится проходить снова

Срок жизни публичных TLS-сертификатов сокращают по расписанию, принятому CA/Browser Forum (баллотировка SC-081v3). Сейчас действует первая ступень:

с 15 марта 2026 — сертификат не дольше 200 дней, результат проверки домена действует те же 200 дней;
с 15 марта 2027 — 100 дней и 100 дней;
с 15 марта 2029 — 47 дней у сертификата и 10 дней у проверки домена.

Отсюда практическое следствие: услуга заказывается на год, а файл сертификата за этот год меняется дважды. Пока предыдущая проверка не устарела, перевыпуск проходит без вашего участия; когда устарела — домен нужно подтвердить заново.

Если постоянного доступа к почте домена у вас нет, подтвердите домен записью в DNS и оставьте её в зоне. Тогда и повторная проверка пройдёт сама.

Если проверка не проходит

Запись CAA. Если в зоне домена есть CAA, в ней должен быть разрешён нужный центр: sectigo.com для сертификатов Sectigo, digicert.com для RapidSSL. Иначе выпуск отклонят, каким бы способом вы ни подтвердили домен.
Письмо не пришло. Служебный ящик не заведён, письмо в спаме или выбран адрес, которого на домене нет.
Файл не читается. Путь должен быть точным до последнего символа, имя файла — без изменений, а домен не должен уводить робота редиректом на другой домен.
Запись DNS не видна. Не разошлась, добавлена не на тот хост или скопирована с лишними кавычками и пробелами.
Домен только что зарегистрирован или сменил владельца. Данные зоны могли ещё не обновиться — проверку стоит повторить позже.

Проверка компании и расширенная проверка

Кроме проверки домена существуют проверка компании (OV) и расширенная проверка (EV): к домену там добавляют документы организации и проверочный звонок, а выпуск занимает несколько рабочих дней. Мы такие сертификаты не продаём.

Видимой выгоды у них давно нет: зелёную строку с названием компании браузеры убрали ещё в 2019 году — Chrome в 77-й версии, Firefox в 70-й. Название организации осталось только в свойствах сертификата, куда посетитель сайта не заглядывает. Шифрование, совместимость и надёжность от типа проверки не зависят вовсе.

Если такой сертификат нужен по требованию контрагента или регулятора — напишите нам, обсудим, чем помочь.