認証局（CA）がドメインの証明書を発行する前に、依頼者はそのドメインを制御していることを証明する必要があります。この処理をドメイン制御検証（DCV）と呼びます。
DCV が完了しないと、認証局（CA）は証明書を発行または更新できません。サイトの訪問者には SSL/TLS エラーが表示されます。
カスタム証明書 では、証明書の申請または更新時に、認証局との DCV を自分で行います。
Cloudflare 経由で発行する証明書では、DCV が自動かどうかは DNS セットアップによって決まります。
ドメインが フルセットアップ（Cloudflare が権威ネームサーバーを運用している状態）の場合、Cloudflare は TXT レコードを使って DCV を自動で行います。詳細は Universal SSL を有効にする を参照してください。
アプリケーションが 部分 DNS セットアップ（Cloudflare が権威ネームサーバーを運用していない状態）の場合、DCV を完了するために追加の手順が必要になることがあります。
非ワイルドカード証明書上のすべてのホスト名が Cloudflare 経由で トラフィックをプロキシしている 場合で、DCV 方法が HTTP のときは、Cloudflare がお客様に代わって DCV を自動で完了できます。
この動作は、Universal または 高度な証明書 をご利用のお客様に適用されます。
証明書上のいずれかのホスト名が Cloudflare 経由でトラフィックをプロキシしていない場合、証明書の発行と更新はご利用の証明書の種類によって異なります。
- Universal: 利用可能な 方法 のいずれかで DCV を実施します。
- Advanced: ほとんどの場合、Delegated DCV を選択でき、証明書管理が大幅に簡素化されます。
ワイルドカードホスト名の証明書では、発行と更新の手順は使う証明書の種類によって異なります。
委任型 DCV を使えない場合は、証明書の発行と更新に TXT ベースの DCV を使う必要があります。証明書上のホスト名ごとに、TXT DCV トークンを 1 つ配置します。証明書上のホスト名が 1 つでも検証に失敗すると、証明書は発行も更新もされません。
つまり、example.com と *.example.com をカバーするワイルドカード証明書では、権威 DNS プロバイダーに DCV トークンを 2 つ置く必要があります。同様に、SAN にホスト名が 5 つある証明書（ワイルドカードを含む）では、権威 DNS プロバイダーに DCV トークンを 5 つ置く必要があります。