委任

委任型 DCV を使うと、部分 DNS セットアップ のゾーン（権威 DNS を Cloudflare が提供していないゾーン）でも、DCV プロセスを Cloudflare に委任できます。

DCV の委任では、一度だけレコードを置きます。これにより、以降の証明書注文は Cloudflare が自動更新でき、更新時に手作業は不要です。

次の条件をすべて満たすときに、委任型 DCV を使ってください。

• ゾーンが 部分 DNS セットアップ です。
• Cloudflare がすでに DCV を自動で実行 していません。
• ゾーンが アドバンスト証明書 を使っています。
• 認証局が Google Trust Services、SSL.com、または Let's Encrypt のいずれかです。

発表ブログ ↗ で説明しているとおり、現在 DCV を委任できるプロバイダーは一度に 1 つだけです。つまり次のとおりです。

• 同じホスト名に対して オリジンサーバー 向けの公開信頼証明書も発行している場合、それはできなくなります。代わりに Cloudflare Origin CA 証明書 を使えます。

• ゾーンで複数の CDN プロバイダーを使っている場合は、別の 方式 を検討してください。DCV の委任を Cloudflare 向けに設定すると、DCV を代行できるのは Cloudflare だけになり、外部の CDN プロバイダーは同じ検証を行えなくなります。

委任型 DCV を設定するには、次の手順を行います。

1. ゾーンの アドバンスト証明書 を注文し、Certificate validation method に TXT を選びます。
2. Edge Certificates ↗ ページで、DCV Delegation for Partial Zones を開きます。
3. Cloudflare の検証 URL をコピーします。
4. 権威 DNS プロバイダーで、次を踏まえて CNAME レコードを作成します。

• 証明書が apex ドメインとワイルドカードだけをカバーする場合は、apex ドメイン向けの CNAME レコードを 1 件作成するだけで十分です。直下のサブドメインもカバーされます。

_acme-challenge.example.com CNAME example.com.<COPIED_VALIDATION_URL>.

• 証明書が名前で指定したサブドメインもカバーする場合は、権威 DNS プロバイダーに、各サブドメイン向けの CNAME レコードを追加します。

_acme-challenge.example.com CNAME example.com.<COPIED_VALIDATION_URL>.
_acme-challenge.sub.example.com CNAME sub.example.com.<COPIED_VALIDATION_URL>.

CNAME レコードを置いたあと、ゾーンが Cloudflare 上で アクティブ であれば、DCV 委任レコードがあるアドバンスト証明書上のすべてのホスト名に対して、Cloudflare が TXT の DCV トークンを追加します。

DCV は定期的に行われるため、権威 DNS プロバイダーの CNAME レコードは削除しないでください。削除すると、Cloudflare は代行して DCV を行えず、証明書は発行されません。

dig コマンドで確認する場合、トークンが見えるのは証明書の発行直前だけです。

Cloudflare は必要なときにトークンを置き、そのあと削除するためです。

dig TXT +noadditional +noquestion +nocomments +nocmd +nostats _acme-challenge.example.com. @1.1.1.1

_acme-challenge.example.com. 3600    IN    CNAME    example.com.<COPIED_VALIDATION_URL>

証明書の更新時にホスト名へ到達できないと、委任型 DCV では自動更新できません。現在名前解決できないホスト名の証明書を更新する必要がある場合は、DCV 方式変更 API エンドポイント に PATCH リクエストを送り、方式を TXT に変えて、TXT DCV 方式 で手動更新します。

ホスト名が再び解決できるようになると、委任型 DCV は通常どおり再開します。

ゾーンを別のアカウントへ移動 した場合は、権威 DNS プロバイダーの CNAME レコードを、新しい検証 URL に更新する必要があります。