SSL证书换了品牌，域名验证已经通过，却卡在CAA检查，先让服务方确认本次由哪家CA签发，再查域名的授权是否包含它。只凭新旧订单上的品牌名，判断不了这次是否更换了颁发机构。订单若含通配符，还得留意issuewild：DNS里的issue允许签发，不代表另一项专门针对通配符的限制也已满足。
遇到DNS查询报错，就查看完整响应，查清解析为何失败。先拿到正常查询结果，才能读出域名的CAA授权。
一、先看工单，卡住的是域名验证还是CAA检查
订单显示域名验证成功，说明CA已核实申请人能控制域名。接下来还得读取CAA，看颁发机构有没有得到许可。本次实际换了CA，生效记录却只写着旧CA，新订单照样会卡住，反复添加TXT验证记录也改不了这一项。
比如，你已经按工单添加TXT记录，平台显示域名验证通过，但报错指出CAA没有授权此次CA。这时继续删除、重建TXT记录，改的是已通过的验证项，签发限制还留在另一处。
把失败提示、完整域名和申请类型交给服务方，直接问：“这次读到了哪条CAA，还是请求根本没得到答复？”让对方附上原始响应。记录内容指向授权问题，超时信息指向解析问题，有了这份依据再动手修改。
申请多域名SSL证书，要逐个检查涉及的名称。通配符和根域名一起申请时，两者也要分别满足对应授权，不能只看其中一项通过，就判断整张证书可以签发。
免费SSL证书和付费SSL证书，在公开信任的签发流程中都要遵守CAA检查要求。DV、OV、EV的身份审核内容不同，也不能凭验证等级绕开域名所有者设置的签发限制。
二、问清真正的CA，别把销售品牌填进授权值
DNS中的CAA记录保存着域名的证书颁发授权，CA签发前会读取其中的许可条件。网站一直能访问，也要按有效授权判断新的签发申请。拿到查询返回的原文，才能知道限制写在哪一项。
购买页名称不能拿来当CAA授权值。向服务方索取本次产品的官方配置说明，并问清由哪个颁发机构出证。工单带星号，还要附上现有issuewild，请对方圈出需要新增的授权。
拿到说明后，找到其中指定的颁发者标识，再填进DNS面板对应的栏位。销售简称和旧证书显示的机构全称，都不该拿来猜这个值。报价单没附配置要求，就继续索取这份说明，别自己编。
一个域名还交给CDN自动申请证书时，要把CDN使用的CA也列入核对范围。只顾手工购买的证书，漏掉自动签发所需的授权，下一轮CDN换证就会受影响。这里要核实的是具体签发需求，不能直接允许所有机构来省事。
三、记录加在主域名，不代表每个子域都沿用它
按IETF的RFC 8659，从待签发名称开始查CAA，当前这一层没有才向上找。哪一层先返回CAA记录集，就停在那里读取授权，不能再从更高层挑一条许可来补。请管理员标明这个生效位置，别只说“主域名已经加了”。
所以，主域名允许了新CA，某个子域却有自己的CAA记录，这个子域的申请仍要按自己那组记录检查。排查时，查询工单里的具体名称，再查看向上查找遇到的授权，别只截主域名控制台给服务方看。
如果申请名称使用CNAME别名，还涉及别名目标的CAA查询。RFC 8659规定CAA查询会追踪CNAME。让DNS管理员提供实际查询结果，说明查询到了哪个名称、返回了哪组记录，比凭控制台里看见的几行配置判断更可靠。
再核对当前权威DNS服务器属于哪家服务商。子域的NS若委派给另一组服务器，修改得在那组服务器对应的解析区域完成。旧账号保留着记录，也不代表查询还会走它；改旧面板，现用服务器上的CAA不会跟着变化。
四、issue和issuewild看懂了，才知道该改哪一项
申请单上带星号的名称先标出来。普通名称采用issue授权；通配符要去掉开头的星号及紧跟的点，再查剩下的域名。生效记录集列出了issuewild，通配符只按该标签核对CA；没列它，才轮到issue。
假设新CA已经写进issue，申请通配符却仍被拒绝，就查看issuewild是不是还只写着原来的CA。修改issue不会连带更新issuewild。另一个容易误读的配置是只有issuewild：它管通配符，不会因为缺少issue，就把普通域名证书也一并禁止。
同一标签下可以分别写入几家CA的授权，不必为了新增一家就删掉原有记录。先核对手工申请和CDN自动续签各自用哪家，再决定留下谁。旧CA仍承担续签任务，就先保留对应授权，等任务切换完成后再清理。
授权值写成一个分号，不能只看这一条就断定全部禁止签发。要把同标签的记录放在一起：空颁发者之外还有有效CA授权，那家CA仍获许可；这一适用标签全为空颁发者，就没有CA从中获得许可。
DNS面板分别提供标志位、标签和值三个栏，就把官方示例拆成三项填写，标签选issue或issuewild，值填颁发者标识。面板要求整条记录时，遵照它给出的格式。最后查一次DNS，确认返回的CAA与填写内容相符。
五、查不到CAA与查询失败，不能按同一种原因处理
响应里写着SERVFAIL，或者一直等不到答复，这份结果不足以说明域名放行了哪些CA。把响应交给DNS服务商，修复后由CA重跑检查。按规则查完，确认没有CAA签发限制，也不能跳过域名验证和其余审核。
Let’s Encrypt的CAA文档明确解释了这类查询故障，包括DNSSEC验证失败。DNSSEC用数字签名保护DNS数据，签名配置错误、父级保留了不匹配的DS记录，都需要管理员检查对应的解析设置。
找DNS服务商排查时，把完整域名、查询时刻和原始响应一并发过去。让管理员逐台问权威服务器：同一个名称拿到的CAA不一样，就查区域数据和同步。至于SERVFAIL或超时，要另外定位DNSSEC、服务器可用性等原因。
DNSSEC报错时，先请管理员拿父级保存的DS与当前DNSKEY核对。DS记录中含有密钥摘要，父级DS找不到匹配的当前DNSKEY，这一段信任关系就无法验证。换过权威DNS尤其要查这项，不能用关闭DNSSEC来替代查原因。CA/B Forum明确要求，不能把DNSSEC验证错误当成签发许可。
六、改完授权，拿查询结果和订单状态一起验收
保存成功之后，找管理员要两份结果：直接问权威DNS得到的CAA，以及递归解析器给出的CAA。递归解析器沿用未过期的旧缓存时，给出的仍是之前的答案。它按取得旧答案时的TTL计时，控制台后来调低TTL，也删不掉它手里那份缓存。
复测时把涉及的域名、证书类型、授权记录、查询时间发给证书服务方，请其重新执行CAA检查。需要保留的是本次申请的完整信息，而不是把旧订单截图反复转发，或者重新下单期待碰巧通过。
CAA复查通过，只从订单中消掉了一个待办。OV或EV还留着企业身份审核，就对着材料清单补齐缺项。收到证书文件后，还须装到当前提供HTTPS的服务器或CDN入口，再从浏览器查看正在提供的证书，核对颁发者及到期日。
资料核对日期：2026年10月13日。
资料依据：IETF《RFC 8659》、CA/B Forum《TLS Baseline Requirements》、Let’s Encrypt《CAA》及Cloudflare的CAA、DNSSEC与TTL官方说明。
SSL证书CAA检查失败常见问题
1、没有CAA记录，是不是就不能申请SSL证书？
不是。正常查询并按规则确认没有生效CAA记录，表示没有CAA名单限制。域名控制权验证、申请资料及所选证书的其他审核仍要完成。
2、换了购买平台，必须修改CAA吗？
核对实际颁发机构及其官方标识，现有CAA已经许可它，换购买平台也无需改DNS；生效授权只列了原CA，就补新CA的许可。判断依据是本次颁发者，不能照着购买页名称填写。
3、普通SSL证书能签发，通配符却失败，先查什么？
把返回结果里的issuewild逐条取出来，与本次CA标识对照。通配符已有issuewild就用这组授权，缺少这一标签才采用issue。普通证书获准签发，不能代替通配符的这项检查。
4、删除全部CAA记录，能最快解决问题吗？
按失败原因修：授权挡住新CA，就调整许可；DNSSEC验证失败，就核对签名配置和父级DS。删掉子域记录，还要查上级CAA，遇到的首组记录仍管这次申请，不能靠删除保证放行。
5、调整CAA后，正在使用的证书要重新安装吗？
不用，服务器继续使用原来配置的证书。CAA改动不会更新这张证书的内容；下次续签或重新签发时，CA再按当时生效的授权检查申请。
