申请 SSL 证书走 DNS 验证时，申请页会给出「主机记录」和「记录值」，到域名的 DNS 控制台添加一条 TXT 记录就行。如果两个记录值的主机记录相同，两个都要加，后加的不要覆盖前一个。
LapseZero 可以签发、续期 SSL 证书，并自动部署到服务器和各家云产品。它的免费 SSL 证书申请工具不用注册，加好 CNAME 记录就能签发并下载证书，不用手动加 TXT。下面讲用 certbot、acme.sh 等工具手动验证时，阿里云、腾讯云 DNSPod 和 Cloudflare 三家控制台怎么添加 TXT 记录。
主机记录填什么
申请工具给出的通常是完整名称，比如 _acme-challenge.www.example.com。DNS 控制台会自动补上 .example.com，所以主机记录只填前面那段：
| 要验证的域名 | 主机记录 |
|---|---|
example.com 或 *.example.com | _acme-challenge |
www.example.com | _acme-challenge.www |
demo.example.com 或 *.demo.example.com | _acme-challenge.demo |
记录类型选 TXT，记录值原样复制，其他选项保持默认。
什么时候会有两个值
申请通配符证书 *.example.com 并同时包含 example.com 时，两者的主机记录都是 _acme-challenge，所以同一个主机记录下要加两个值。两个都要保留，Let's Encrypt 的说明里也写明了同名可以有多条 TXT。
申请 example.com 并同时包含 www.example.com 时，主机记录是 _acme-challenge 和 _acme-challenge.www 两个，各加一条就行。
另外，要在实际管理域名解析的平台添加。它不一定是买域名的平台：比如域名在阿里云买的，但解析已经交给了 Cloudflare，就要去 Cloudflare 添加。
下面三家都以同一个主机记录下的两个值为例，截图里的值是演示用的，请换成申请页上的值。
阿里云：一次填两个值
打开阿里云云解析 DNS 控制台，在「公网权威解析」里选择域名。
- 点「添加记录」，记录类型选 TXT。
- 主机记录填
_acme-challenge，解析请求来源保持「默认」。 - 「记录值集合」第一行填第一个值，点「添加条目」，在第二行填第二个值。
- 点「确定」，核对后确认保存。
保存后，列表里会出现两条主机记录相同的 TXT 记录。注意每个条目只填一个值，不要把两个值写在同一个输入框里。
腾讯云 DNSPod：分两次添加
打开腾讯云 DNSPod 控制台，选择域名，进入「记录管理」。
- 点「添加记录」，记录类型选 TXT，主机记录填
_acme-challenge。 - 「文本内容」填第一个值，其他保持默认，点「确定」。
- 再点一次「添加记录」，主机记录还是
_acme-challenge，「文本内容」填第二个值，保存。
不要在「文本内容」里换行填两个值，这样只会保存成一条记录。如果点「添加记录」后出现的是列表里的一行输入框，点「切换」可以打开图中的弹窗。
Cloudflare：同一个名称再加一次
打开 Cloudflare DNS 记录页，选择域名，进入「DNS → 记录」。
- 点「添加记录」，类型选 TXT。
- 名称填
_acme-challenge，内容填第一个值，TTL 保持「自动」，点「保存」。 - 再点一次「添加记录」，名称不变，内容填第二个值，保存。
第二个值要新建一条记录，不要编辑第一条去改内容，否则第一个值就没了。
其他 DNS 服务商
在域名的解析记录管理里添加 TXT 记录，主机记录和值照申请页填。有两个值时，不确定控制台支不支持一条记录填多个值，就分两条添加。
怎么确认记录已生效
新加的记录一般几分钟内就能查到。可以在 DNS 记录检查工具里输入完整名称，比如 _acme-challenge.example.com，类型选 TXT 查询。有两个值的话，要两个都能查到。
查不到时，按顺序检查这几处：
- 只查到一个值：第二个值是不是把第一个覆盖了。
- 一个都查不到：主机记录里是不是多写了
.example.com；值有没有复制完整；是不是加在了实际管理解析的平台。
证书签发后，这些 TXT 记录就可以删掉了。
续期时还要再加一次
Let's Encrypt 证书有效期 90 天，每次续期都要换新的记录值，手动加一次 TXT 只管这一张证书。如果不想每隔两三个月重复一遍，可以在 LapseZero 里填好阿里云、腾讯云或 Cloudflare 的 DNS API 凭证，签发和续期时由它自动添加验证记录，证书也能自动部署到服务器和云产品。证书有效期还会继续缩短，详见2027 年起 SSL 证书最长 100 天。想了解 DNS 验证和其他验证方式的区别，可以看HTTP-01、DNS-01 和 DNS 委派的区别。