Universal、Advanced、カスタムホスト名 の証明書を取得するため、Cloudflare は公開信頼された複数の 認証局（CA） と連携しています。
ただし、CA に証明書の発行または更新を依頼するたびに、依頼者はドメインを制御していることを証明する必要があります。このときに DCV プロセスが始まります。証明は通常、標準の URL パス（/.well-known/pki-validation）に HTTP トークンを置くか、権威 DNS プロバイダーに TXT レコードを置くことで行います。
上記のユースケースでは、プロセスに次の 3 者が関わります。
- 証明書の発行対象となるウェブサイトまたはアプリケーション。
- 依頼者（Cloudflare）。
- リクエストを処理する CA。
要約すると、Cloudflare が CA に証明書の発行または更新を依頼したあと、次の 5 つの手順が成功する必要があります。
- Cloudflare が CA から DCV トークンを受け取ります。
- Cloudflare がトークンを代行して置くか（フル DNS セットアップ、委任型 DCV）、利用者が置けるようにトークンを提示します。
- Cloudflare が検証 URL をポーリングし、トークンの有無を確認します。
- 複数の DNS リゾルバー経由でトークンが置かれていることを Cloudflare が確認したあと、CA にも確認を依頼します。
- CA がトークンの設置を確認できれば、証明書が発行されます。確認できない場合、証明書は発行されず、トークンは無効になります。
- 検証 URL を妨げる設定（ファイアウォールによるブロックや、誤設定された DNSSEC など）は、証明書の発行や更新で問題を起こすことがあります。トラブルシューティングガイド を参照してください。
-
証明書が
pending_validationの状態で、有効なトークンが配置されている場合、ゾーンの/.well-known/*パスを対象とする一部のセキュリティ機能は自動的にバイパスされます。 - Certificate Authority Authorization（CAA）レコードが、証明書の発行をブロックすることがあります。CAA レコード を参照してください。
DCV トークンは CA が生成し管理します。Cloudflare が生成するものではありません。動作の技術仕様は RFC 8555 ↗ を参照してください。