摘要：DNS 切换后 DV 证书验证失败，未必只是解析“还没生效”。更常见的原因是父域委派与权威服务器返回不一致、验证记录写进了旧 DNS、CNAME 指向错误，或 CAA 记录没有授权目标 CA。本文按证书签发方的实际检查路径给出排查顺序。
先确认签发方看到的是哪套权威 DNS
DV 证书的域名验证依赖公开 DNS 或指定的 HTTP 文件路径。域名刚切换 DNS 后，最容易发生的情况不是记录没写，而是记录写在旧解析商、新解析商没有对应记录，或者不同权威服务器返回的内容不一致。此时本地电脑、企业递归DNS 与证书签发方看到的结果也可能不同。
因此，排查的第一步不是反复提交验证，也不是只看本地 DNS 工具能否解析，而是确认注册局的委派已经指向哪一组名称服务器，并直接询问这组权威服务器。只有签发方从公开网络获得的权威答案稳定，DV 验证才有完成的基础。
第一步 先确认父域委派是否已经切到新 DNS
域名控制台显示“已修改名称服务器”不等于互联网已经完成委派切换。应先检查父域返回的 NS 记录，确认其列出的名称服务器与新 DNS 服务商提供的名称服务器一致。若父域仍返回旧 NS，后续无论在新平台添加 TXT、CNAME 或 A 记录，签发方都不会看到。
委派已经切换后，还要观察每台权威服务器是否给出一致答案。多台权威服务器中只要有一台仍缺少记录，验证就可能在不同时间命中不同结果，表现为“偶尔成功、偶尔失败”或长时间处于待验证。
第二步 确认验证记录写在正确位置
DNS 验证通常要求在特定主机名下配置 TXT 或 CNAME；HTTP 文件验证则要求把指定文件放到精确路径。切换DNS 的过程中，常见失误是将记录继续写入旧服务商后台，或在新平台填写了错误的根域、主机记录名称。
1. 从证书订单或验证页面复制完整验证主机名和值，不要手工省略前缀或替换域名层级。
2. 直接向新权威 DNS 服务器查询该记录，确认记录类型、主机名和值均与订单要求一致。
3. 若使用 CNAME 验证，继续检查目标名称是否能被公开解析，且中间没有指向失效域名。
4. 若使用 HTTP 文件验证，使用外网请求精确 URL，确认没有被跳转、WAF、登录页或默认站点替换。
第三步 把 CAA 记录作为独立问题排查
CAA 记录不是域名控制权验证记录，而是域名所有者对“哪些 CA 可以为这个域名签发证书”的授权声明。没有CAA 并不必然导致签发失败；但一旦域名或父域存在 CAA，未被列出的 CA 就不能签发。
排查 CAA 时，不能只查申请的完整域名。CA 会从申请的 FQDN 逐级向上检查，直到发现可用 CAA 记录；若域名使用 CNAME，检查路径还可能跟随 CNAME 的目标。对通配符申请，应同时关注与通配符签发相关的授权项。
实际变更前，应先核实企业希望授权哪些 CA，再在 DNS 中保留对应授权。只写入一个 CA 的 CAA，意味着其他 CA 的签发都会被限制；这对控制签发权限有帮助，但在迁移供应商或应急补证书时也需要事先规划。
第四步 区分 DNS 传播和缓存问题
DNS 记录修改后，递归 DNS 的缓存会按 TTL 逐步失效，但“等待 TTL”并不能修复写错区域、委派未更新或权威服务器不一致的问题。正确做法是先用权威服务器确认记录已存在，再观察多个公共递归解析服务是否逐渐返回同一答案。
如果业务使用分地域解析、内外网分离解析或安全 DNS 网关，还应确认签发方能够访问的是公网可见版本。内部 DNS 能解析到的记录，不会自动成为 CA 可验证的公开记录。
一份适合变更窗口的排查清单
• 注册局委派的 NS 是否已全部切换至新 DNS 服务商；
• 所有权威 DNS 是否返回相同的验证 TXT 或 CNAME；
• 验证记录是否建立在订单要求的完整主机名下；
• HTTP 验证文件是否可被外网直接读取，且内容没有被网关改写；
• CAA 是否在 FQDN、父域或 CNAME 目标处限制了目标 CA；
• 业务是否采用内外网分离 DNS，公开权威区是否确实包含验证记录。
FAQ
1.DNS 已切换两天 为什么 DV 证书仍无法验证？
先检查父域委派与权威服务器返回，而不是继续等待。若验证记录存在于旧DNS、某一台新权威 DNS 未同步，或 CAA 未授权目标 CA，等待再久也不会自动恢复。
2.没有配置 CAA 为什么还要排查 CAA？
CAA 可能配置在父域，也可能出现在 CNAME 指向的目标域名。只查当前主机名容易漏掉真正生效的限制。
3.DNSSEC 会不会导致验证失败？
若 DNSSEC 链路配置错误，公开 DNS 查询可能返回校验失败。此时需要由域名注册商和DNS 托管方共同检查 DS 记录与签名区域是否一致，不能用临时关闭安全校验替代根因修复。
关于 GlobalSign
GlobalSign 提供 SSL TLS 证书与域名管理支持资料。企业在DNS 迁移前，可先梳理域名验证方式、DNS 变更权限和 CAA 授权策略，再安排切换窗口，以减少证书申请、续期或重新签发受解析变更影响。
数据来源：GlobalSign 域名验证流程与 CAA Checking 技术资料；IETFRFC 8659 CAA 记录标准。