摘要：HTTP-01与DNS-01分别利用HTTP资源和DNS记录验证域名控制权。选择时应考察入口可达性、通配符需求、DNS写入权限及长期维护。更适合的方式是能够安全、持续地完成验证，而不是首次操作看起来更快；上线前还需验证签发后的部署与加载。
运维有Web服务器权限，却没有DNS写入权限；DNS由集团统一管理，业务入口又通过CDN和WAF。这样的环境里，验证方式不能只按个人熟悉程度决定。
两种方式都用于证明相应域名控制条件，但依赖不同。选型时应把权限和访问路径一起画清楚，判断续期时能否反复完成，而不只是首次申请是否顺利。
HTTP-01依赖验证请求到达正确位置
HTTP-01需要让CA取得指定HTTP路径中的挑战响应。采用该方式时，应确认域名解析、80端口及相关路径能够按服务要求访问；前面有多个节点、CDN或访问控制时，要保证验证请求拿到正确内容。
常见困难不是文件没有生成，而是文件只在一个节点，CA请求到了另一个节点；或挑战路径被身份登录、重写和WAF规则拦截。应沿外部请求路径检查，不能只在服务器本地访问文件。
HTTP-01不能用于ACME通配符标识验证。需要通配符时，应选择CA和客户端支持的相应方式，而不是在每个子域名上放一个HTTP文件来替代。
DNS-01依赖能够维护权威DNS
DNS-01通过相应名称下的TXT记录响应挑战。适合的环境可以利用DNS服务商API或经确认的验证委派安排，使记录按任务更新；但需要维护凭据、区域权限及清理逻辑。
企业不应为了续期方便，把可修改整个DNS账号的最高权限密钥交给所有服务器。应尽可能收窄到必要区域或操作，并按服务商实际能力实施。无法提供合适权限时，需要重新评估执行位置和授权方式。
验证前应确认CA能从权威解析取得预期记录。递归缓存、DNSSEC错误、委派不一致和错误记录位置都可能导致失败。控制台显示“保存成功”，不代表公网解析已经符合验证条件。
选择时看持续运行条件
| 判断项 | HTTP-01 | DNS-01 |
| 主要维护对象 | 指定HTTP挑战路径 | 相应DNS TXT记录 |
| ACME通配符验证 | 不支持 | 在相应服务支持下可用 |
| 多节点关注点 | 请求是否均取得正确响应 | 权威记录是否一致可见 |
| 主要凭据与权限 | Web配置及路径维护 | DNS记录写入或委派 |
只有一个稳定公网Web入口、挑战路径容易维护时，可以先评估HTTP-01。无法开放合适HTTP路径、需要通配符，或希望将验证与Web节点解耦时，可评估DNS-01，但前提是DNS权限和自动化条件能够安全落实。
同一企业也可以按业务采用不同方式，无须为了管理表整齐就全部统一。需要统一的是凭据保管、失败处理和责任，而不是强求所有架构使用同一种挑战。
验证通过以后还有后半段
GlobalSign Atlas提供相应ACME接入及HTTP、DNS验证文档，TLSConnect的官方说明也列有这两类挑战支持。使用前应核对具体账号、产品、客户端和部署方式，不能把某个工具支持挑战理解为所有DNS服务商插件都已配置好。
获得证书后，仍需取得正确证书链并让目标服务使用。DNS验证在独立管理机上完成时，新材料如何安全到达目标，是另一项需要设计的工作。HTTP验证顺利，也不代表服务已经重新加载。
首次测试除了正常签发，还应检查一次失败路径，例如所需权限被拒绝后是否能定位、临时记录是否按预期处理。续期工作是持续维护，短暂完成挑战不应成为最终验收。
FAQ
Q1：网站只开放443端口，HTTP-01还能照常验证吗？
A：HTTP-01依赖相应80端口HTTP请求，不能仅凭HTTPS可访问判断条件满足。应按CA与客户端要求确认路径，必要时评估DNS-01。
Q2：申请通配符证书，能否只用HTTP-01？
A：不能用于ACME通配符验证。应采用相应支持的方式，例如DNS-01，并确认产品及客户端条件。
Q3：DNS控制台已经有TXT记录，为什么仍会失败？
A：需检查记录名称与值、权威解析、缓存及委派等条件。控制台写入结果不等于验证方一定取得正确响应。
Q4：DNS-01是不是总比HTTP-01安全或方便？
A：不能一概而论。它减少对HTTP入口的依赖，同时需要保护DNS写入权限。应结合实际架构和权限条件选择。
GlobalSign ACME接入选择
GlobalSign为适用产品提供AtlasACME服务，企业可依据实际入口和DNS条件选择相应挑战方式。需要图形化管理的团队可进一步评估TLSConnect，但仍应验证客户端、凭据和部署范围；选择方式的依据应是长期可维护与权限合理，而非一次演示速度。
资料来源
GlobalSign Atlas ACME验证与证书管理
https://docs.globalsign.com/solutions/services/acme/certificate-management
IETF ACME协议 RFC8555
https://www.rfc-editor.org/rfc/rfc8555