Let’s Encrypt 引入 DNS-Persist-01：彻底解决 DNS-01 验证痛点的自动化新方案

背景：从 DNS-01 到 DNS-Persist-01 的演进

长期以来，Let’s Encrypt 和 ACME 协议主要依赖两种验证方式：HTTP-01 和 DNS-01。虽然 DNS-01 是申请通配符证书（Wildcard Certificates）的唯一途径，但它在实际操作中存在诸多挑战，如 DNS 传播延迟、API 安全风险以及高频更新导致的记录堆积。为了优化这一过程，Let’s Encrypt 提出了全新的验证模型：DNS-Persist-01。

什么是 DNS-Persist-01？

DNS-Persist-01 是一种旨在简化 ACME 挑战验证的新机制。与传统的 DNS-01 不同（每次申请证书都需要在 DNS 中写入一个新的随机 TXT 记录），DNS-Persist-01 允许用户在 DNS 中配置一个**持久化（Persistent）**的记录。该记录指向一个长期有效的验证凭据或公钥，后续的证书签发只需通过加密签名证明对该凭据的控制权即可。

DNS-Persist-01 的核心技术深度解析

• 减少 API 写入风险： 在 DNS-01 下，自动化脚本通常需要具备对 DNS 解析商 API 的写入权限。一旦服务器被攻破，攻击者可能篡改所有解析记录。DNS-Persist-01 通过一次性配置，将“写入权”转化为“签名证明”，极大地提升了安全性。
• 消除传播延迟（Propagation Delay）： 传统的 DNS 验证往往需要等待几分钟甚至几小时以确保 TXT 记录在全球同步。由于 DNS-Persist-01 使用已存在的持久记录，验证过程几乎是瞬时完成的。
• 降低 DNS 基础设施负担： 大规模集群在频繁签发证书时会产生海量的 DNS 写入请求。持久化模型显著减少了对 DNS 服务器的频繁读写，使基础设施更加稳健。
• 授权委派（Delegation）： 该协议支持更灵活的 CNAME 委派机制，允许将验证权安全地移交给专门的证书管理系统，而无需暴露主域名的核心配置。

技术对比：DNS-01 vs. DNS-Persist-01

传统的 DNS-01 需要“动态更新”，而 DNS-Persist-01 强调的是“静态配置 + 动态签名”。这意味着企业可以实施更严格的防火墙和 API 策略，仅在初始化阶段允许 DNS 修改。对于 DevOps 团队而言，这意味着更少的构建失败和更可预测的部署流程。

未来展望与部署意义

目前 DNS-Persist-01 仍处于草案和早期实施阶段，但它代表了 ACME 协议向更高安全性、更低延迟迈进的重要一步。对于依赖通配符证书和大规模自动化证书管理的企业来说，关注这一协议的进展并提前规划 DNS 架构的适配将是未来的重点。Let’s Encrypt 的这一举措将再次降低 HTTPS 自动化的门槛，提升全球网络的安全基准。