一、HTTP-01 挑战：简单直接但边界清晰
1. 工作原理
HTTP-01 挑战的流程极为简洁：
CA 向 ACME 客户端下发一个随机令牌。客户端将该令牌写入指定路径下的文本文件中——具体而言，路径为 /.well-known/acme-challenge/{token}。CA 随后通过 HTTP（80 端口）访问该路径，确认返回内容与预期令牌一致，即视为域名控制权验证通过。
这一机制的核心理念是：只有域名的控制者才能在其 Web 服务器的指定路径下放置特定内容。
2. HTTP-01 的适用前提
HTTP-01 对网络拓扑有以下硬性要求：
80 端口必须对公网可达。CA 的验证请求来自其验证服务器，必须能够通过公网访问域名的 80 端口。这意味着以下场景对 HTTP-01 不友好：
- 服务器位于防火墙后，仅开放了 443 端口；
- 运营商封锁了 80 端口的入站流量（部分地区的家庭宽带和中小型 ISP 存在此限制）；
- 使用了仅转发 443 的 CDN 或反向代理。
域名必须解析到可访问的 IP 地址。内网域名或仅在企业内部 DNS 中解析的域名无法使用 HTTP-01。
不支持通配符证书。HTTP-01 只能验证单个具体的域名，无法验证通配符域名。这是 HTTP-01 方案最显著的能力上限。
3. HTTP-01 的部署模式
在单服务器场景下，HTTP-01 的部署较为简单——ACME 客户端直接在本地 Web 服务器的文档根目录下创建验证文件即可。
在多服务器场景下（如流量分发器后有多台后端），HTTP-01 面临分发难题：CA 的验证请求会随机落到某一台服务器上，而验证文件可能只存在于其中一台上。解决方案通常包括：
- 将验证文件放在共享存储中，所有服务器接入同一目录；
- 在流量分发器层设置路径规则，将
/.well-known/acme-challenge/的请求固定转发到指定节点；
- 使用集中式的 ACME 客户端，在验证期间临时切换 DNS 解析指向。
这些方案都增加了架构复杂度，也是多服务器场景下 HTTP-01 逐渐失宠的主要原因。
4. 安全考量
HTTP-01 的安全边界建立在两个前提上：
其一，攻击者无法在相同路径下写入文件。在正确配置的 Web 服务器上，/.well-known/ 路径的写入权限仅属于 ACME 客户端进程。但若服务器存在任意文件写入漏洞，攻击者可能通过写入伪造的验证文件来获取证书。
其二，网络路径未被劫持。中间人攻击（如 BGP 劫持）可能将 CA 的验证请求导向攻击者控制的服务器。这是 HTTP-01 与 DNS-01 共同面临的风险，但由于 HTTP 验证仅涉及单次请求，攻击窗口理论上更短。
二、DNS-01 挑战：灵活但需权限控制
1. 工作原理
DNS-01 挑战将验证凭据从 Web 服务器转移到了 DNS 系统：
CA 提供一段哈希值，客户端将该值写入域名的 TXT 记录中——记录名称为 _acme-challenge.{domain}。CA 通过 DNS 查询该记录，确认其内容与预期哈希匹配，即完成验证。
关键的架构差异在于：DNS-01 不需要服务器的任何网络可达性。验证过程完全通过 DNS 查询完成，与 Web 服务器是否在线、80 端口是否开放无关。
2. DNS-01 的核心优势
支持通配符证书。这是 DNS-01 相较 HTTP-01 最显著的优势。通配符证书一次性覆盖主域名的所有一级子域名，大幅简化多子域名场景的证书管理。
服务器无需对公网可达。内网服务器、开发环境、暂未上线的预发布环境都可以通过 DNS-01 获取证书。这对内部系统尤其重要——它们往往不在公网 DNS 中暴露，但同样需要 HTTPS 加密。
可集中化管理。DNS-01 客户端不需要在每台 Web 服务器上运行，只需一台能够操作 DNS 记录的机器即可完成所有域名的证书签发。在多服务器集群中，这一集中化优势显著降低了运维复杂度。
3. DNS-01 的部署挑战
DNS-01 的主要门槛在于 DNS API 接入。ACME 客户端需要具备通过 API 修改 DNS 记录的能力，这要求：
- DNS 托管服务提供 API 接口（大多数 DNS 服务商已支持）；
- ACME 客户端持有具有 DNS 写入权限的 API 凭证。
API 凭证的权限范围是一个需要谨慎对待的安全问题。拥有 DNS 写入权限意味着可以修改任何 DNS 记录——不仅是 TXT 验证记录，还包括 A 记录、MX 记录等。凭证泄露可能导致域名被劫持。建议的做法是：在 DNS 服务商侧创建受限子账户，仅授予 _acme-challenge 前缀记录的写入权限。
4. DNS 传播延迟的处理
DNS 记录的变更不是即时生效的。虽然权威 DNS 服务器上的变更是即时的，但递归 DNS 服务器的缓存可能导致 CA 的验证查询仍获取到旧值。这要求 ACME 客户端在设置 TXT 记录后等待一段传播时间（通常为 30-120 秒），并可能需要在 CA 的多个验证节点都查询到正确结果后才认为验证就绪。
实践中，部分 DNS 托管服务提供较快的权威 DNS 传播速度，可在 10 秒内完成全球节点的同步。选择这类服务可以缩短证书签发的总体耗时。
三、选型决策框架
|
场景 |
建议模式 |
理由 |
|
单台 Web 服务器，80 端口开放 |
HTTP-01 |
配置最简单，零额外依赖 |
|
多服务器集群 / 流量分发 |
DNS-01 |
无需解决验证文件分发问题 |
|
需要通配符证书 |
DNS-01 |
HTTP-01 不支持通配符 |
|
内网服务器或无公网 IP |
DNS-01 |
HTTP-01 要求公网可达 |
|
无法获取 DNS API 权限 |
HTTP-01 |
DNS-01 依赖 DNS API |
|
高安全要求场景 |
DNS-01 |
可限制 API 凭证权限，可配合 DNSSEC |
两种模式并非互斥。在同一组织的证书管理体系中，面向公网的服务可使用 HTTP-01 简化部署，内网系统和需要通配符的场景走 DNS-01。关键在于理解每种模式的技术边界，而非在不同场景中套用同一套配置。
