Delegated

Delegated DCV を使うと、SaaS プロバイダーは DCV プロセスを Cloudflare に委任できます。

DCV Delegation では、顧客が権威 DNS に一度だけレコードを置きます。これにより Cloudflare が今後の証明書注文を自動更新できるため、更新時に提供者側も顧客側も手作業は不要です。

セットアップ

Delegated DCV を設定する手順は次のとおりです。

ゾーンにカスタムホスト名を追加し、Certificate validation method に TXT を選びます。
Custom Hostnames ↗ ページで DCV Delegation for Custom Hostnames を開きます。
ホスト名の値をコピーします。
ホスト名ごとに、ドメイン所有者が権威 DNS に CNAME レコードを置きます。この例では SaaS ゾーンは example.com です。
```
_acme-challenge.example.com CNAME example.com.<COPIED_HOSTNAME>.
```

完了すると、Cloudflare は TXT の DCV レコードを 2 件置きます。1 件は example.com 用、もう 1 件は *.example.com 用で、ホスト名は example.com.<COPIED_HOSTNAME> です。更新時にも Cloudflare がレコードを置き続けられるよう、CNAME レコードはそのまま残します。

必要であれば、DCV トークンを手動で取得して顧客に共有することもできます。

競合する `_acme-challenge` TXT レコードを削除する

既存の _acme-challenge TXT レコードがあると、委任型 DCV は機能しません。委任型 DCV を設定する前に、顧客の権威 DNS から次の形式のレコードがないか確認し、あれば削除します。

_acme-challenge.example.com TXT <CERTIFICATE_VALIDATION_VALUE>

以前の証明書注文や Universal SSL の発行時に、Cloudflare が自動で置いたレコードも対象です。顧客のドメインが、直接管理する Cloudflare ゾーンにもある場合（例: 顧客が自分の Cloudflare アカウントで example.com をプロキシしている）は、そのゾーンの DNS レコードに _acme-challenge がないかを確認し、あれば削除します。

委任用 CNAME が置かれているかを確認するには、次を実行します。

dig _acme-challenge.example.com CNAME +short

何も返らない場合、委任用 CNAME はありません。先に進む前に追加します。

CNAME はあるのに証明書の検証が進まない場合は、顧客の直接管理する Cloudflare ゾーン内に、競合する _acme-challenge TXT レコードがある可能性があります。リゾルバーはソース名のレコードを見せるのではなく CNAME チェーンをたどるため、確認するには顧客のゾーンを直接見る必要があります。そのゾーンの Cloudflare ダッシュボードで DNS > Records を開き、_acme-challenge TXT エントリがないかを確認します。対処手順はトラブルシューティングを参照してください。

移動したドメイン

SaaS ゾーンを別アカウントへ移動した場合は、新しいホスト名の値で CNAME レコードを更新します。