申請證書審核失敗的原因及處理方法

申請證書審核失敗的原因及處理方法

1. fileauth.htm內(nèi)容配置錯誤

1.1. 站點(diǎn)已啟用https訪問方式

可能原因：

驗(yàn)證文件僅部署在HTTP服務(wù)路徑下，并沒有部署在HTTPS服務(wù)路徑下，從而導(dǎo)致用HTTPS協(xié)議請求時找不到對應(yīng)的文件。

處理方法(任選其一)：

a) 將驗(yàn)證文件放在HTTPS服務(wù)路徑下，確保HTTPS協(xié)議可訪問到；

b) 關(guān)閉該站點(diǎn)的HTTPS服務(wù)；

1.2 訪問驗(yàn)證文件時,站點(diǎn)返回錯誤代碼

可能原因：

當(dāng)嘗試獲取驗(yàn)證文件時，站點(diǎn)返回錯誤代碼頁。如50X內(nèi)部錯誤頁，40X錯誤頁，30X重定向頁等。

處理方法：

確保CA指定的URL能夠直接訪問到正確的驗(yàn)證文件內(nèi)容。確保最終的驗(yàn)證文件沒有通過重定向等方式展示在Web瀏覽器中。可通過瀏覽器地址是否發(fā)生變化來檢測是否重定向。

1.3 站點(diǎn)啟用了CDN服務(wù)

可能原因：

CDN服務(wù)節(jié)點(diǎn)海外未同步。Symantec CA驗(yàn)證服務(wù)器沒有國內(nèi)鏡像站點(diǎn)。當(dāng)您的CDN鏡像服務(wù)節(jié)點(diǎn)在海外未能完成同步時，將無法檢測到驗(yàn)證文件。

處理方法：

將驗(yàn)證文件同步到海外CDN服務(wù)節(jié)點(diǎn)，或臨時關(guān)閉CDN海外加速服務(wù)。如無法對CDN節(jié)點(diǎn)服務(wù)器進(jìn)行操作，建議您變更驗(yàn)證方式為DNS驗(yàn)證。

1.4 驗(yàn)證文件時間戳超時

可能原因：

文件驗(yàn)證的驗(yàn)證文件有效期為7天。當(dāng)驗(yàn)證文件內(nèi)容中的時間戳信息超過7天時，將導(dǎo)致驗(yàn)證失敗。

處理方法：

登錄阿里云-云盾證書服務(wù)，從證書管理控制臺下載最新的驗(yàn)證并上傳到網(wǎng)站指定目錄下。

文件驗(yàn)證方法：

推薦命令：

curl -k -v 驗(yàn)證文件URL 或者 wget -S 驗(yàn)證文件URL

驗(yàn)證文件URL請用HTTPS和HTTP兩種協(xié)議分別測試。

2．DNS配置錯誤，Entry不匹配

2.1. 記錄值配置錯誤

可能原因：

DNS解析記錄分為主機(jī)記錄及對應(yīng)的記錄值。當(dāng)主機(jī)記錄配置正確，但對應(yīng)的解析記錄值配置錯誤時，將導(dǎo)致驗(yàn)證錯誤。

處理方法：

配置正確的DNS主機(jī)記錄及記錄值。

2.2.使用dnspod或部分其他部分域名解析服務(wù)商的服務(wù)時，未完成DNS解析配置。

可能原因：

當(dāng)使用dnspod作為域名解析服務(wù)商時，因dnspod對不存在的主機(jī)記錄的查詢返回與預(yù)期的返回值不同，導(dǎo)致CA驗(yàn)證返回不準(zhǔn)確。

處理方法：

忽略相關(guān)錯誤，并盡快完成DNS的解析記錄配置，完成域名驗(yàn)證。

2.3.DNS解析記錄值中的時間戳超時

可能原因：

DNS驗(yàn)證的記錄值中包含時間戳。Symantec DV證書，時間戳有效期截止時間為第二天的16:00之前。當(dāng)CNAME記錄值中的時間戳信息超過第二天的16:00時，將導(dǎo)致驗(yàn)證失敗。GeoTrust DV證書時間戳始終有效。

處理方法：

登錄阿里云-云盾證書服務(wù)，從證書管理控制臺獲取最新的CNAME解析記錄信息，刪除原CNAME記錄并重新添加新的CNAME解析記錄。

注意：部分域名服務(wù)商域名控制面板中，修改已存在的CNAME記錄值時，解析記錄值生效需要2個小時以上。而新建CNAME記錄值則可以很快生效。因此建議您新建CNAME記錄值來完成驗(yàn)證。待域名驗(yàn)證通過后，可刪除相關(guān)的CNAME解析記錄信息。

2.4. 域名啟用了動態(tài)解析服務(wù)

可能原因：

相關(guān)域名啟用了動態(tài)域名解析服務(wù)，相應(yīng)的CNAME解析記錄值未能及時同步到海外權(quán)威DNS服務(wù)器。

處理方法：

請確保動態(tài)解析服務(wù)正常，并確保海外的解析服務(wù)能夠正常解析您新增的CNAME解析記錄。盡快完成域名解析記錄值的同步，如果申請 Symantec DV證書，域名解析記錄值在第二天的16:00之前未能完成海外權(quán)威DNS服務(wù)器同步，將導(dǎo)致您的域名驗(yàn)證失敗。GeoTrust DV證書，解析記錄值無有效期限制。

CNAME記錄值驗(yàn)證方式

Windows: 可使用nslookup命令查詢您的域名解析狀態(tài)。選擇開始菜單，單擊“運(yùn)行”，輸入“cmd”，在命令行窗口中輸入以下命令：nslookup -qt=cname “您的域名驗(yàn)證字符串”分析您的域名驗(yàn)證字符串信息輸出信息，確保已正確配置了DNS解析記錄。

Linux: 推薦用dig 命令

如果不方便用以上命令，可通過web工具檢測，記得選擇CNAME。推薦工具：DNS檢測工具

 3．域名審核失敗

該域名未通過CA安全審核，無法申請Symantec DV證書。請嘗試使用其他域名/子域名，或升級其他產(chǎn)品類型。申請Symantec DV證書產(chǎn)品，當(dāng)域名中包含特定關(guān)鍵字時，可能觸發(fā)該錯誤信息。

可能原因：

Symantec DV及DV通配符證書產(chǎn)品，全程無人工審核驗(yàn)證流程。當(dāng)您的域名中包含特定關(guān)鍵字時，將導(dǎo)致訂單請求直接被Symantec駁回。二級域名或者主域名中都有可能包含特定的關(guān)鍵字。

特定的關(guān)鍵詞規(guī)則包含： live、bank、fund、wallet、pay、lv、nuclear、.pw域名等。

部分全球知名公司注冊商標(biāo)、域名等，如：google、microsoft、apple等。

處理方法：

建議首先更換域名中的主機(jī)名部分，重新嘗試提交訂單。如果多次更換主機(jī)名，均提示以上錯誤，則建議選擇其他收費(fèi)證書產(chǎn)品，或選擇更換主域名申請證書。

4．單位的電話號碼不能為空或不正確

申請OV/EV類型證書產(chǎn)品，未填寫單位電話號碼時，觸發(fā)該錯誤信息。

可能原因：

OV/EV類型證書產(chǎn)品，單位電話號碼為必填字段。當(dāng)單位電話號碼為空，或填寫不符合規(guī)則時，需要重新填寫。

處理方法：

請?zhí)顚懩軌蚪勇牭膯挝浑娫捥柎a，以便在CA機(jī)構(gòu)做組織信息驗(yàn)證時能夠方便的聯(lián)系到您。

5．CSR（證書請求文件）已用于其他訂單，請更新CSR后重新提交

證書的請求文件已用于其他訂單。

錯誤原因：

出于證書秘鑰安全考慮，在請求一個全新的訂單時，不允許使用之前已使用過的CSR信息。

錯誤處理：

如果之前已使用一個CSR文件成功提交過訂單，在后續(xù)的新訂單中，請重新生成新的CSR文件。確保每張SSL證書都有其唯一的密鑰對，將有助于提升證書應(yīng)用中的安全性。

6．證書綁定的所有域名（IP）格式不正確

證書中綁定的域名信息錯誤。

錯誤原因：

合法的域名，僅允許包含“字母”+“數(shù)字”+“-”的任意組合。并且域名的最大長度不得超過64個字符。

錯誤處理：

請檢查CSR及訂單中填寫的域名信息，確保使用了正確的域名提交訂單。

7. 其它錯誤

審核失敗 - 主域名不能為空

域名未通過安全審核該怎么辦？