Процес валідації для SSL-сертифікатів

Перед випуском сертифіката центр сертифікації зобов’язаний переконатися, що домен належить замовнику. Ця перевірка називається валідацією домену (Domain Control Validation, DCV), і без неї сертифікат не випустять. Усі сертифікати, які ми продаємо, перевіряються тільки так: паперових документів, факсів і дзвінків не потрібно.

Сторінка описує порядок, що діє на 17 вересня 2026 року, для сертифікатів Sectigo і RapidSSL.

Що саме перевіряє центр сертифікації

Перевіряється контроль над доменом, а не особа власника: центр переконується, що замовник розпоряджається доменом — його поштою, сайтом або зоною DNS. Відомостей про компанію в такому сертифікаті немає й бути не повинно.

Звичайний сертифікат випускається на ім’я сайту та його версію з www, Wildcard — на домен і всі піддомени першого рівня. Перевіряти треба основний домен: підтверджувати кожен піддомен окремо не потрібно.

Три способи підтвердити домен

Спосіб обирається при замовленні. Усі три рівноцінні для центру сертифікації — різниця лише в тому, до чого у вас є доступ.

Лист на службову адресу

Центр надсилає лист на одну зі службових адрес вашого домену: admin@, administrator@, hostmaster@, postmaster@, webmaster@. У листі посилання та перевірочний код: перейти за посиланням, ввести код — домен підтверджено.

Підходить, якщо на домені заведено пошту і ви її читаєте. Раніше лист можна було надіслати на адресу з Whois, тому від замовника вимагали відкрити приховані дані; тепер адреса для перевірки задається окремим DNS-записом _validation-contactemail, і прихований Whois перевірці не заважає.

Файл на сайті

Центр видає ім’я файлу та його вміст, файл кладеться на сайт у каталог .well-known/pki-validation/ у корені документів. Робот перевірки приходить на адресу домену на порт 80 або 443 і читає файл.

Підходить, якщо сайт уже працює і ви можете покласти в нього файл. Для Wildcard цей спосіб не годиться — так вимагають галузеві правила, а не налаштування конкретного центру.

Запис у DNS

Центр видає запис CNAME або TXT, який додається в зону домену. Ні сайт, ні пошта для цього не потрібні — достатньо доступу до DNS.

Це єдиний спосіб, який працює завжди: домен може бути ще без сайту, а сертифікат — призначатися маршрутизатору чи внутрішньому сервісу. Для Wildcard перевірка через DNS — основний шлях.

Скільки це займає

Лист приходить за хвилини. Файл перевіряється одразу після викладення. Запис DNS — щойно він розійдеться: зазвичай це хвилини, але залежить від TTL зони та провайдера. Після успішної перевірки сертифікат випускається автоматично, теж за хвилини.

Чому перевірку доводиться проходити знову

Строк життя публічних TLS-сертифікатів скорочують за розкладом, ухваленим CA/Browser Forum (балотування SC-081v3). Зараз діє перший щабель:

з 15 березня 2026 — сертифікат не довше 200 днів, результат перевірки домену діє ті самі 200 днів;
з 15 березня 2027 — 100 днів і 100 днів;
з 15 березня 2029 — 47 днів у сертифіката і 10 днів у перевірки домену.

Звідси практичний наслідок: послуга замовляється на рік, а файл сертифіката за цей рік змінюється двічі. Поки попередня перевірка не застаріла, перевипуск проходить без вашої участі; коли застаріла — домен треба підтвердити заново.

Якщо постійного доступу до пошти домену у вас немає, підтвердьте домен записом у DNS і залиште його в зоні. Тоді й повторна перевірка пройде сама.

Якщо перевірка не проходить

Запис CAA. Якщо в зоні домену є CAA, у ньому має бути дозволений потрібний центр: sectigo.com для сертифікатів Sectigo, digicert.com для RapidSSL. Інакше випуск відхилять, хоч би яким способом ви підтвердили домен.
Лист не прийшов. Службову скриньку не заведено, лист у спамі або обрано адресу, якої на домені немає.
Файл не читається. Шлях має бути точним до останнього символу, ім’я файлу — без змін, а домен не повинен відводити робота редиректом на інший домен.
Запис DNS не видно. Не розійшовся, доданий не на той хост або скопійований із зайвими лапками та пробілами.
Домен щойно зареєстровано або він змінив власника. Дані зони могли ще не оновитися — перевірку варто повторити пізніше.

Перевірка компанії та розширена перевірка

Крім перевірки домену існують перевірка компанії (OV) і розширена перевірка (EV): до домену там додають документи організації та перевірочний дзвінок, а випуск триває кілька робочих днів. Ми такі сертифікати не продаємо.

Видимої вигоди в них давно немає: зелений рядок із назвою компанії браузери прибрали ще 2019 року — Chrome у 77-й версії, Firefox у 70-й. Назва організації лишилася тільки у властивостях сертифіката, куди відвідувач сайту не заглядає. Шифрування, сумісність і надійність від типу перевірки не залежать зовсім.

Якщо такий сертифікат потрібен на вимогу контрагента або регулятора — напишіть нам, обговоримо, чим допомогти.