32 lines
3.5 KiB
Markdown
32 lines
3.5 KiB
Markdown
# 泛域名证书根域名覆盖
|
||
|
||
## 行为
|
||
|
||
项目托管证书选择 DNS 验证时，签发和续期统一申请主域名与对应泛域名。例如主域名为 `example.com` 时，证书包含 `example.com` 和 `*.example.com`。主域名由部署配置提供，不固定任何测试域名。
|
||
|
||
Web 地址允许使用主域名或一级子域名；多级子域名、其他主域名及超出覆盖范围的附加邮箱服务地址仍会被拒绝。
|
||
|
||
根域名与泛域名可能在同一 `_acme-challenge` 主机名生成不同的 TXT 值。页面展示全部记录，必须同时保留，不能把其中一条覆盖成另一条。清理一个挑战时只清理对应记录。
|
||
|
||
旧的仅泛域名证书缺少主域名覆盖，项目托管模式的证书检查会识别为覆盖不足，进入既有续期流程。手动及代理托管仍不自动续期。DNS 手动模式需要自行设置 TXT；2026-09-20 后续实现加入了内置 AliDNS 自动管理及加密凭据配置，没有新增外部续期脚本。
|
||
|
||
## 验证
|
||
|
||
- [✓] 主域名与泛域名申请集合、空配置和大小写规范化回归。
|
||
- [✓] 根域名与一级子域名可用，多级及无关域名拒绝。
|
||
- [✓] 两条同名 TXT 独立保留与清理。
|
||
- [✓] 真实 X.509 校验识别完整覆盖、缺少根域名、缺少泛域名。
|
||
- [✓] 云服务器真实 CA 签发及可信 TLS 验收。
|
||
|
||
2026-09-20 03:58:42—04:05:54，部署业务代码对应的全部 66 个 Linux 后端测试包完成一次全量复测，0 失败、5 项跳过；上述证书回归均实际执行通过。测试以非 root 用户运行，测试程序摘要与本地构建收据一致。证书包原始日志为 `/var/tmp/scf20/final-results/ssl.log`，本地副本为 `test-log/cloud-final-20260920/final-results/ssl.log`。此结果只证明已覆盖的证书行为，不代表无人值守 DNS 续期完成。
|
||
|
||
2026-09-20 已在云服务器完成 Let's Encrypt YR1 签发，SAN 包含 `example.com` 与 `*.example.com`，有效期为 2026-09-19 16:44:26 UTC 至 2026-12-18 16:44:25 UTC。服务器通过回环地址和公网地址连接 443、465、993、995，使用对应域名校验系统信任链，均通过 TLS 1.3 验证；实际浏览器也可访问 HTTPS 页面。
|
||
|
||
签发完成后仅删除本轮创建的两条 ACME TXT，其他 DNS 记录保留。当前客户端邮件端口网络路径仍未通过，不能将服务器侧验证等同于公网客户端收发验收。
|
||
|
||
03:32—03:40 接续实测进一步确认：443、内置 HTTPS 8002、SMTP TLS 465、IMAP TLS 993、POP3 TLS 995，以及 SMTP 25/587 STARTTLS、POP3 110 STLS 均返回同一证书，DER SHA-256 为 `f369937771b4b3bd4fc1ea624a8eed30e1451c8bcefdcd1c9c15043a33113018`。根域名 SNI 也通过系统信任链校验。内部 8002 仅回环路径通过，服务器经公网 IP 访问该端口超时；143 当前未启用，未计为通过。
|
||
|
||
阿里云控制面及两个权威 DNS、Google 公共 DNS 均确认 `*` 泛解析生效；MX、SPF、DKIM、DMARC 保留，Smail 的 DKIM 公钥与运行密钥匹配。原始证据见《云端全项目测试报告》的接续实测表。
|
||
|
||
05:10 补充：内置 AliDNS 已完成真实 staging 的新挑战与清理，生产续期入口成功，配置变化自动触发 Nginx 原子导出及平滑重载。新证书覆盖范围不变，到期时间为 `2026-12-18T20:12:03Z`，DER SHA-256 为 `117d6f2b5b147ea7b98f84d44b22cd1580ffd489eddfdb680d8372f60bc6f2ba`。生产 CA 复用已有授权，不能将本轮生产签发当作新 DNS 挑战证据；自然到期长期调度尚未验证。详见《云端全项目测试报告》。
|