DNS認証で承認されない、証明書が発行されない

DNS 認証(DNS-01)で TXT レコードを設定したのに証明書が発行されない場合、主な原因は DNS キャッシュの反映待ちまたは TXT レコードの設定ミスです。本ページでは原因と対処法、および確認方法を解説します。

🔍 DNS 認証の仕組み

DNS 認証では、認証局が以下の流れでドメイン所有を確認します。

1. 申請時に TXT レコード値を取得

   申請時に追加すべき TXT レコード名と値が当社から提示されます。

   レコード名:_dnsauth.example.com
   タイプ:TXT
   値:認証用ハッシュ値(申請ごとに異なる)

2. DNS に TXT レコードを追加

   ドメインの DNS ゾーンに上記の TXT レコードを追加します。レジストラまたは DNS プロバイダの管理画面で設定します。

3. DNS の反映を待つ

   追加した TXT レコードが世界中の DNS サーバから取得可能になるまで待ちます。

4. 認証局が DNS を検証

   認証局が外部から DNS を引き、TXT レコードの内容を確認します。

5. 検証成功 → 証明書発行

   検証が通れば、証明書が自動発行されます。

🆘 よくある失敗パターンと対処法

1. TXT レコードの反映待ち

DNS の変更は、即座に世界中に反映されるわけではありません。DNS キャッシュの仕組みにより、設定済みの TTL(Time To Live)が切れるまで古い情報が返される場合があります。

2. TXT レコード名の間違い

TXT レコードのレコード名(ホスト名)を間違えるのが、最も多い失敗パターンです。

3. TXT レコード値の誤り

TXT レコードの値に余分な空白・改行・引用符が含まれていると、認証エラーとなります。

4. ワイルドカード証明書での誤解

ワイルドカード証明書(*.example.com)では、TXT レコードを親ドメイン(_dnsauth.example.com)に設定します。* を含むレコード名(_dnsauth.*.example.com)ではないことに注意してください。

🔧 動作確認方法

TXT レコードが正しく公開されているか、以下の方法で確認できます。

方法 1:dig コマンドで確認(Linux / macOS)

# 自分の DNS サーバから引く
dig TXT _dnsauth.example.com

# Google Public DNS から引く(キャッシュなしで確認)
dig @8.8.8.8 TXT _dnsauth.example.com

# Cloudflare DNS から引く
dig @1.1.1.1 TXT _dnsauth.example.com

# 権威 DNS から直接引く
dig +trace TXT _dnsauth.example.com

方法 2:nslookup で確認(Windows)

# コマンドプロンプトで実行
nslookup -type=TXT _dnsauth.example.com 8.8.8.8

方法 3:Web ツールで確認

以下のオンラインツールから世界各地の DNS サーバでの解決状況を確認できます。

• whatsmydns.net ─ 世界中の DNS サーバから一括検索
• dnschecker.org ─ 同様の機能
• Google Admin Toolbox ─ Google 提供の DNS チェック

📊 反映時間を短縮するコツ

🔄 待てない場合の認証方式変更

DNS の反映を待てない場合は、別の認証方式へ切り替えるのが確実です。

🤖 ACME 自動更新ならクラウド DNS で完全自動

ACME プロトコルでは、DNS の TXT レコード追加・削除も自動化できます。主要 DNS プロバイダ(Cloudflare・Route 53・Google Cloud DNS 等)の API と連携することで、認証から発行・配置まですべて無人で完結します。

ACME 自動更新を見る →

💡 関連するご質問

📚 関連ページ

• ファイル認証で証明書が発行されない場合
• 承認用メールアドレスについて
• ワイルドカード証明書とは?
• ACME 自動更新ガイド
• お問い合わせフォーム