Was ist Domain Control Validation (DCV)? Vollständiger Leitfaden zu SSL-Zertifikat-Validierungsmethoden

Wenn Sie ein SSL/TLS-Zertifikat bestellen, übergibt die Zertifizierungsstelle es nicht einfach so. Sie benötigen einen Nachweis, dass Sie die Domain, die Sie sichern, tatsächlich kontrollieren. Hier kommt Domain Control Validation (DCV) ins Spiel. Es ist der Verifizierungsprozess, der die Domäneninhabe vor der Ausstellung eines Zertifikats bestätigt.

Dies ist nicht nur rote Bürokratie. DCV verhindert, dass Angreifer gültige Zertifikate für Domains erhalten, die sie nicht besitzen, was das Vertrauensmodell, das HTTPS sicher hält, vollständig untergraben würde. Das CA/Browser Forum, das Branchengremium, das die Grundanforderungen für die Zertifikatsausstellung festlegt, schreibt spezifische DCV-Methoden vor, die alle Zertifizierungsstellen befolgen müssen.

In diesem Leitfaden werden wir erklären, was DCV ist, die verschiedenen verfügbaren Validierungsmethoden durchgehen und Ihnen helfen, den richtigen Ansatz für Ihre Infrastruktur zu wählen.

---

Inhaltsverzeichnis

1. Was ist Domain Control Validation (DCV)?
2. E-Mail-basierte Domänenvalidierungsmethoden
3. DNS-basierte DCV-Methoden
4. HTTP/HTTPS-dateibasierte Validierungsmethoden
5. Spezielle Validierungsszenarien
6. Wählen Sie die richtige DCV-Methode für Ihre Anforderungen
7. Häufige DCV-Probleme und schnelle Lösungen

---

---

Was ist DCV (Domain Control Validation)?

Domain Control Validation (DCV) ist der Prozess, den Zertifizierungsstellen nutzen, um die Domäneninhabe vor der Ausstellung eines SSL/TLS-Zertifikats zu überprüfen. Es bestätigt die Kontrolle, indem der Antragsteller per E-Mail reagiert, eine Datei in die Domain hochlädt oder DNS-Einträge konfiguriert, um die Autorität über die Domain zu beweisen.

Der Prozess funktioniert so: Die CA generiert eine eindeutige Herausforderung (normalerweise eine zufällige alphanumerische Zeichenfolge), und Sie beweisen die Kontrolle, indem Sie über die Infrastruktur Ihrer Domain reagieren. Dies könnte durch DNS-Einträge, Ihren Webserver oder administrative E-Mail-Adressen geschehen. Nach der Validierung weiß die CA, dass sie das Zertifikat an den legitimen Domäneninhaber und nicht an jemanden ausgibt, der Ihre Website imitieren möchte.

Branchenstandards und Compliance

Die Grundanforderungen des CA/Browser Forum definieren genau, wie DCV durchgeführt werden muss. Dies sind keine Vorschläge, sondern strenge Regeln, die CAs befolgen müssen, sonst riskieren sie, ihren vertrauenswürdigen Status in Browsern zu verlieren.

Aktuelle Standards umfassen:

• Die Validierung muss eine der genehmigten DCV-Methoden verwenden (siehe unten)
• Multi-Perspective Issuance Corroboration (MPIC) erfordert eine Validierung aus mehreren Netzwerkperspektiven, um lokalisierte Angriffe zu verhindern
• Die Validierung ist wiederverwendbar für 397 Tage für Organization Validated (OV) und Extended Validation (EV) Zertifikate
• Domain Validated (DV) Zertifikate können keine Validierung wiederverwenden, Sie müssen bei jeder Erneuerung erneut validieren

Hier ist etwas Wichtiges: Diese Anforderungen werden strenger. Die Branche reduziert die maximalen Zertifikatslaufzeiten und Validierungszeiträume.

Das CA/Browser Forum hat einen klaren Zeitplan für Zertifikatslaufzeiten definiert: Sie sind jetzt auf 200 Tage ab dem 15. März 2026 begrenzt, mit weiteren Reduktionen auf 100 Tage ab dem 15. März 2027 und 47 Tage ab dem 15. März 2029.

Diese Verschärfung wirkt sich auch auf Validierungszyklen aus und macht häufige Revalidierung und SSL-Zertifikat-Automatisierung zunehmend notwendig.

---

E-Mail-basierte Domänenvalidierungsmethoden

1. Konstruierte E-Mail-Verifizierung

E-Mail-Validierung ist die häufigste DCV-Methode, da sie einfach ist und keine technischen Änderungen an Ihrer Infrastruktur erfordert. Die CA sendet eine E-Mail mit einem Validierungslink oder Code an bestimmte Adressen Ihrer Domain.

Die CA versucht diese generischen E-Mail-Adressen:

• [email protected]
• [email protected]
• [email protected]
• [email protected]
• [email protected]

Sie müssen nicht alle davon einrichten, nur eine funktionierende Adresse aus der Liste. Die CA überprüft die MX-Einträge Ihrer Domain, um zu bestätigen, dass E-Mails zugestellt werden können, und sendet dann die Validierungsanfrage.

Wenn die E-Mail ankommt, klicken Sie auf einen Verifizierungslink oder kopieren einen Code zurück in die Zertifikat-Bestellplattform. Der Prozess dauert normalerweise nur wenige Minuten, wenn Ihre E-Mail ordnungsgemäß konfiguriert ist.

Diese Methode funktioniert gut, wenn:

• Sie über etablierte E-Mail-Infrastruktur für Ihre Domain verfügen
• Sie gelegentlich Zertifikate bestellen, nicht im großen Maßstab
• Sie das einfachste Validierungsverfahren ohne DNS- oder Webserver-Änderungen wünschen

Der Nachteil? Sie können es nicht einfach automatisieren, und wenn Ihre E-Mail ausfällt oder die Adressen nicht überwacht werden, schlägt Ihre Validierung fehl.

2. E-Mail an DNS TXT-Kontakt

Diese Variation kombiniert E-Mail mit DNS. Statt generischer Adressen veröffentlichen Sie eine bestimmte E-Mail-Adresse in einem DNS TXT-Eintrag bei _validation-contactemail.yourdomain.com. Die CA liest diesen Eintrag und sendet die Validierung an diese Adresse.

Warum diesen Ansatz verwenden?

• Wiederverwendbarkeit: Einmal konfiguriert, bleibt es für den gesamten Validierungszeitraum gültig
• Zentrale Kontrolle: Sie entscheiden genau, welche E-Mail Validierungsanfragen erhält
• Teamfreundlich: Zeigen Sie auf eine Verteilerliste, nicht auf einen persönlichen Posteingang

Hier ist das praktische Setup:

_validation-contactemail.yourdomain.com. IN TXT "mailto:[email protected]"

Erstellen Sie einfach diesen DNS TXT-Eintrag mit Ihrer bevorzugten Kontakt-E-Mail-Adresse, und die CA wird ihn automatisch verwenden. Dies ist besonders nützlich für Organisationen, die mehrere Zertifikate verwalten. Sie können die Validierung über alle Domains standardisieren durch einen überwachten Posteingang.

---

DNS-basierte DCV-Methoden

1. DNS TXT-Datensatz-Validierung

DNS TXT-Datensatz-Validierung ist aufgrund ihrer Flexibilität und Automatisierungspotenziale beliebt. Wenn Sie ein Zertifikat bestellen, stellt die CA einen spezifischen Hostnamen und ein Validierungstoken bereit, das Sie als TXT-Eintrag zum DNS Ihrer Domain hinzufügen.

Der grundlegende Prozess:

1. Die CA stellt einen Hostnamen (normalerweise _dvsauth.yourdomain.com) und ein Token während der Zertifikatbestellung bereit
2. Sie erstellen den TXT-Eintrag mit diesem Token als Wert
3. Die CA fragt Ihr DNS ab, um zu bestätigen, dass der Eintrag existiert
4. Nach der Verifizierung geben sie das Zertifikat aus

Der Eintrag sieht normalerweise so aus:

_dvsauth.yourdomain.com. IN TXT "ab1c2d3e4f5g6h7i8j9k0l1m2n3o4p5q"

DNS TXT-Validierung ist ideal für:

• Automatisierung – DNS-APIs machen dies durch ACME-Clients oder benutzerdefinierte Tools skriptbar
• Umgebungen ohne Webserver – Sie benötigen nur DNS-Zugriff
• Wildcard-Zertifikate – Wir werden diese Anforderung im Abschnitt Spezielle Szenarien behandeln

Eine Sache, die Sie beachten sollten: DNS-Propagierungszeit. Wenn Ihre Nameserver hohe TTL-Werte oder langsame Propagierung haben, kann die Validierung länger dauern. Die meisten CAs werden 24 Stunden lang erneut versuchen, aber es ist am besten, niedrigere TTL-Werte festzulegen, bevor Sie Validierungseinträge hinzufügen.

2. DNS CNAME-Datensatz-Methode

CNAME-Validierung verwendet einen anderen Datensatztyp, erreicht aber das gleiche Ziel. Statt das Validierungstoken direkt zu speichern, erstellen Sie einen CNAME, der auf ein Validierungsziel zeigt, das von der CA kontrolliert wird.

Beispielkonfiguration:

_dnsauth.yourdomain.com. IN CNAME random-token.dcv.digicert.com.

Der Schlüsselunterschied: Der CNAME zeigt auf einen Eintrag, den die CA kontrolliert, was bedeutet, dass sie das Validierungsziel aktualisieren können, ohne dass Sie DNS ändern. Einige CAs erlauben dies auch für Domänen-Vorvalidierung, Sie richten den CNAME einmal ein, und sie können validieren, wann immer Sie Zertifikate bestellen.

CNAME-Validierung funktioniert gut, wenn:

• Ihr DNS-Anbieter macht CNAMEs leichter zu verwalten als TXT-Einträge
• Sie die Domänen-Vorvalidierungsfunktion für OV/EV-Zertifikate wünschen
• Sie mit CAs arbeiten, die CNAME-basierte Validierungsflows unterstützen

Nicht alle CAs bieten CNAME-Validierung, überprüfen Sie also bei Ihrem Anbieter. Wenn verfügbar, ist es aber eine solide Option für Teams, die diesen DNS-Datensatztyp bevorzugen.

---

---

HTTP/HTTPS-dateibasierte Validierungsmethoden

1. HTTP praktische Demonstration

Dateibasierte Validierung erfordert, dass Sie eine spezifische Datei auf Ihrem Webserver unter einem bestimmten Pfad platzieren. Die CA greift dann auf diese Datei via HTTP oder HTTPS zu, um zu bestätigen, dass Sie den Server kontrollieren, auf dem die Domain gehostet wird.

Der Standardpfad ist: http://yourdomain.com/.well-known/pki-validation/fileauth.txt

Die CA stellt sowohl den genauen Dateinamen als auch den Inhalt bereit. Sie erstellen diese Datei auf Ihrem Server, stellen sicher, dass sie zugänglich ist, und die CA validiert durch Abrufen.

Kritische Implementierungspunkte:

• Die Datei muss auf Port 80 (HTTP) oder Port 443 (HTTPS) zugänglich sein
• Das .well-known–Verzeichnis ist ein Standard-Speicherort, der in RFC 8615 definiert ist
• Dies ist erforderlich für die Validierung von IP-Adressen. Wenn Sie ein Zertifikat für eine IPv4- oder IPv6-Adresse erhalten, ist HTTP-Validierung typischerweise Ihre einzige Option

Dateibasierte Validierung ist einfach, wenn Sie direkten Webserver-Zugriff haben. Sie ist weniger ideal, wenn Sie Hosting-Services mit eingeschränktem Dateisystem-Zugriff oder CDNs verwenden, die Validierungsanfragen möglicherweise zwischenspeichern oder beeinträchtigen.

Tipps zur Fehlerbehebung:

• Stellen Sie sicher, dass Umleitungen nicht eingreifen. Die CA muss die genaue Validierungs-URL erreichen
• Überprüfen Sie, dass Firewalls HTTP/HTTPS-Zugriff zulassen
• Deaktivieren Sie Caching für das Validierungsverzeichnis
• Überprüfen Sie die Dateiberechtigungen, um öffentliche Lesezugriff zu ermöglichen

2. ACME Challenge Integration

ACME (Automated Certificate Management Environment) Protokoll verwendet HTTP-01 und DNS-01 Challenges für automatisierte DCV. Wenn Sie Let’s Encrypt oder eine andere ACME-kompatible CA verwenden, verwaltet Ihr ACME-Client den gesamten Validierungsprozess automatisch.

HTTP-01 Challenge: Platziert eine Validierungsdatei bei /.well-known/acme-challenge/ (ähnlich wie Standard-HTTP-Validierung)

DNS-01 Challenge: Erstellt einen TXT-Eintrag bei _acme-challenge.yourdomain.com

Ihr Client (wie Certbot, acme.sh oder integrierte Tools in Plattformen wie cPanel) verwaltet die Validierung und Zertifikatserneuerung ohne manuelles Eingreifen. ACME ist zum Standard für automatisierte Zertifikatverwaltung geworden, besonders für Organisationen, die große Zertifikatbestände verwalten.

---

Spezielle Validierungsszenarien

1. Multi-Domain und SAN-Zertifikat-Validierung

Wenn Sie ein Multi-Domain-Zertifikat (auch SAN oder UCC-Zertifikate genannt) bestellen, müssen Sie jede Domain separat validieren. Ein einzelner DCV-Kontrollbereich deckt nicht alle Domains auf dem Zertifikat ab.

Beispiel: Ein Zertifikat für example.com, www.example.com und shop.example.com erfordert drei separate Validierungen, obwohl sie verwandte Domains sind.

Die gute Nachricht? Sie können Validierungsmethoden mischen. Verwenden Sie E-Mail-Validierung für eine Domain und DNS-Validierung für eine andere, wenn dies zu Ihrer Infrastruktur passt. Die CA-Plattform verfolgt den Validierungsstatus für jede Domain und gibt das Zertifikat nur aus, wenn alle Domains verifiziert sind.

2. Wildcard-Domänen-Validierung

Wildcard-Zertifikate (die *.example.com abdecken) erfordern DNS-basierte Validierungsmethoden. Die meisten CAs akzeptieren E-Mail- oder HTTP-Validierung für Wildcards nicht, aus Sicherheitsgründen.

Warum DNS-Validierung für Wildcards?

Wildcard-Zertifikate sichern unbegrenzte Subdomains. Dateibasierte Validierung konnte nur die Kontrolle über eine Subdomain gleichzeitig nachweisen, und E-Mail-Validierung beweist keine Kontrolle über alle möglichen Subdomains. DNS-Validierung beweist, dass Sie die gesamte DNS-Infrastruktur Ihrer Domain kontrollieren, was für ein Zertifikat, das alle Subdomains schützt, angemessen ist.

Wenn Sie ein Wildcard-Zertifikat benötigen, planen Sie die Verwendung von DNS TXT oder CNAME-Validierung. Dies sind typischerweise Ihre einzigen Optionen.

3. Überlegungen zur Subdomain-Validierung

Sie können auf Subdomain-Ebene oder übergeordneter Domain-Ebene validieren, abhängig von der Validierungsmethode. Bei HTTP-Validierung muss die Datei auf der spezifischen Subdomain, die Sie validieren, zugänglich sein. Bei DNS-Validierung erstellen Sie Einträge auf der entsprechenden Subdomain-Ebene.

Ein wichtiger Unterschied: Die Validierung der übergeordneten Domain (example.com) validiert nicht automatisch Subdomains (blog.example.com) für die meisten Validierungsmethoden. Jede Subdomain benötigt ihre eigene Validierung, es sei denn, Sie verwenden ein Wildcard-Zertifikat.

---

Wählen Sie die richtige DCV-Methode für Ihre Anforderungen

Passen Sie die Methode zu Ihrer Infrastruktur an:

Vergleichen Sie alle DCV-Methoden auf einen Blick

Validierungsmethode	Zeit zum Abschluss	Automatisierungsfähigkeit	Technische Fähigkeit	Wildcard-Unterstützung	Wiederverwendbarkeit (OV/EV)	Best for
E-Mail (Generisch)	5-30 Minuten	❌ Niedrig	⭐ Minimal	✅ Ja	❌ Nein	Einmalige Zertifikate, kleine Bereitstellungen
E-Mail (DNS TXT)	15-60 Minuten	❌ Niedrig	⭐⭐ Niedrig-Moderat	✅ Ja	✅ Ja (397 Tage)	Teams mit mehreren Zertifikaten, etablierte E-Mail
DNS TXT-Datensatz	10-60 Minuten	✅ Hoch	⭐⭐⭐ Moderat	✅ Ja	✅ Ja (397 Tage)	Automatisierung, Wildcards, große Bereitstellungen
DNS CNAME	15-60 Minuten	✅ Hoch	⭐⭐⭐ Moderat	✅ Ja	✅ Ja (397 Tage)	Domänen-Vorvalidierung, CA-verwaltete Tokens
HTTP-Datei	5-20 Minuten	⚠️ Mittel	⭐⭐ Niedrig-Moderat	❌ Nein	❌ Nein	Direkter Serverzugriff, IP-Adressen
ACME (HTTP-01)	2-10 Minuten	✅ Sehr hoch	⭐⭐⭐⭐ Moderat-Hoch	❌ Nein	N/A (automatische Erneuerung)	Vollständige Automatisierung, Let’s Encrypt
ACME (DNS-01)	2-10 Minuten	✅ Sehr hoch	⭐⭐⭐⭐ Moderat-Hoch	✅ Ja	N/A (automatische Erneuerung)	Vollständige Automatisierung mit Wildcards

Methodenauswahl nach Szenario

Verwenden Sie E-Mail-Validierung, wenn:

• Sie einfache, einmalige Zertifikatbestellungen haben
• Generische Admin-E-Mail-Adressen werden überwacht
• Sie benötigen keine Automatisierung

Verwenden Sie DNS TXT/CNAME-Validierung, wenn:

• Sie Wildcard-Zertifikate benötigen
• Sie mehrere Zertifikate verwalten
• Sie keinen Webserver-Zugriff haben
• Sie Automatisierungsfähigkeiten wünschen

Verwenden Sie HTTP-Datei-Validierung, wenn:

• Sie direkten Webserver-Zugriff haben
• Sie IP-Adressen validieren
• DNS-Änderungen sind in Ihrer Organisation schwierig

---

Häufige DCV-Probleme und schnelle Lösungen

Validierungsfehler geschehen. Hier sind die häufigsten Fehler, auf die Sie stoßen werden, und wie Sie sie schnell beheben.

HTTP-Datei-Validierung: „404 Nicht gefunden“

Fehler: „Das System fragte nach einer temporären Datei unter http://example.com/.well-known/pki-validation/[filename].txt ab, aber der Webserver antwortet mit folgendem Fehler: 404 (Nicht gefunden).“

Schnelle Lösungen:

• Erstellen Sie manuell die Verzeichnisstruktur: /public_html/.well-known/pki-validation/
• Legen Sie Berechtigungen fest: Verzeichnisse zu 755, Dateien zu 644
• Überprüfen Sie .htaccess-Regeln, die den /.well-known/-Pfad blockieren könnten
• Wenn die Domain gerade hinzugefügt wurde, warten Sie 24-48 Stunden auf die Propagierung
• Testen Sie die Zugänglichkeit: curl -v http://yourdomain.com/.well-known/pki-validation/test.txt

Häufige Ursache: Der Pfad der Validierungsdatei existiert nicht oder ist nicht öffentlich zugänglich.

HTTP-Validierung: „Verbietet DCV HTTP-Umleitungen“

Fehler: „cPanel (powered by Sectigo) verbietet DCV HTTP-Umleitungen.“

Schnelle Lösungen:

• Deaktivieren Sie vorübergehend Umleitungen zu HTTPS während der Validierung
• Schließen Sie den /.well-known/*-Pfad aus den Umleeitungsregeln aus
• Überprüfen Sie .htaccess, Cloudflare-Seitenregeln oder Serverkonfiguration auf Umleitungen
• Wenn Sie ein CDN verwenden, deaktivieren Sie es vorübergehend oder fügen Sie eine Ausnahme hinzu

Häufige Ursache: Ihre Site leitet HTTP zu HTTPS oder zu einer anderen Domain um und blockiert den Validierungsversuch der CA.

DNS-Validierung: „Kein TXT-Eintrag, der dem Standard entspricht“

Fehler: „Die DNS-Abfrage zu ‚_dvsauth.example.com‘ für die DCV Challenge gab keinen ‚TXT‘-Eintrag zurück, der dem Wert ‚[expected-value]‘ entspricht.“

Schnelle Lösungen:

• Warten Sie 1-24 Stunden auf DNS-Propagierung (hängt von TTL ab)
• Überprüfen Sie den genauen Hostnamen und Wert: dig _dvsauth.example.com TXT +short
• Überprüfen Sie auf Copy/Paste-Fehler im Validierungstoken
• Wenn Sie delegiertes DNS verwenden (NS-Einträge), fügen Sie den TXT-Eintrag beim korrekten Anbieter hinzu
• Senken Sie die TTL auf 300 Sekunden (5 Minuten), bevor Sie Validierungseinträge hinzufügen

Häufige Ursache: DNS hat sich noch nicht propagiert, oder der Eintrag hat Tippfehler.

DNS-Validierung: CAA-Einträge blockieren die Ausstellung

Fehler: „Zertifizierungsstelle ist auf einen mehrfachen CAA-Kontrollfehlerstoß gestoßen.“

Schnelle Lösungen:

• Überprüfen Sie vorhandene CAA-Einträge: dig example.com CAA
• Fügen Sie Ihre CA zu zulässigen Ausstellern hinzu: example.com. CAA 0 issue „digicert.com“
• Überprüfen Sie, dass CAA-Einträge global mit dem ping.pe-Tool aufgelöst werden
• Wenn keine CAA-Einträge existieren, müssen Sie keine hinzufügen (das Fehlen erlaubt allen CAs)

Häufige Ursache: CAA-Einträge beschränken, welche CAs Zertifikate für Ihre Domain ausstellen können.

E-Mail-Validierung: E-Mail nicht erhalten

Schnelle Lösungen:

• Überprüfen Sie zuerst Spam-/Junk-Ordner
• Überprüfen Sie, dass diese Adressen existieren und E-Mails empfangen: admin@, administrator@, webmaster@, hostmaster@, postmaster@
• Überprüfen Sie MX-Einträge: dig example.com MX
• Whitelist die E-Mail-Versendungsdomänen der CA in Ihrem Spam-Filter
• Fordern Sie E-Mail-Wiederversand von der CAS-Kontrollplattform an

Häufige Ursache: Validierungs-E-Mail wird von Spam-Filtern abgefangen oder Admin-Adressen existieren nicht.

Plattformspezifisch: cPanel AutoSSL-Fehler

Fehler: „Lokaler HTTP DCV-Fehler: Ein interner Fehler ist aufgetreten.“

Schnelle Lösungen:

• Überprüfen Sie WHM > Manage AutoSSL-Protokolle auf Details
• Warten Sie 30 Minuten und versuchen Sie erneut (löst sich oft automatisch auf)
• Wechseln Sie zwischen Sectigo und Let’s Encrypt-Anbietern
• Löschen Sie die AutoSSL-Warteschlange: WHM > Manage AutoSSL > Clear pending queue

Schnelle Diagnosebefehle

Bevor Sie den Support kontaktieren, führen Sie diese Überprüfungen durch:

# Überprüfen Sie die DNS-Propagierung
dig yourdomain.com +short
dig _dvsauth.yourdomain.com TXT +short

# Testen Sie die HTTP-Datei-Zugänglichkeit
curl -v http://yourdomain.com/.well-known/pki-validation/test.txt

# Überprüfen Sie CAA- und MX-Einträge
dig yourdomain.com CAA
dig yourdomain.com MX

---

Vereinfachen Sie Ihre SSL-Zertifikatverwaltung mit SSL Dragon

Domain Control Validation richtig zu erledigen ist entscheidend für eine reibungslose Zertifikatbereitstellung. SSL Dragon bietet Zertifikate von vertrauenswürdigen Zertifizierungsstellen mit allen Validierungsmethoden, die Sie benötigen, egal ob Sie E-Mail-, DNS- oder HTTP-basierte Verifizierung bevorzugen.

Unser Team hilft Ihnen, die DCV-Anforderungen für Domain Validated, Organization Validated und Extended Validation Zertifikate zu navigieren. Wir führen Sie durch die Validierungsmethode, die zu Ihrer Infrastruktur passt, und beantworten Fragen, wenn Validierungsprobleme auftreten.

Hören Sie auf, mit Zertifikatvalidierung zu kämpfen. Durchsuchen Sie unsere SSL-Zertifikat-Optionen!