IETF 草案标准进展
初始规范草案提交。提出了 dns-persist-01 验证机制，旨在规避传统 dns-01 中每次签发均需高权限修改并暴露 DNS API 密钥的安全短板。
ACME 工作组草案修订。细化了委托关系、Account Thumbprint 绑定规则、重定向限制以及防止子域名越权的安全控制机制。
重构引入密码学 Hashed Account URI 强绑定机制（H(len||domain||key||acct_url) 彻底杜绝跨域关联），新增 accountHashPrefix 目录元数据与免私钥预配置（Pre-provisioning），规范化驼峰 issuerDomainNames 命名。
提交至互联网工程指导组 (IESG) 评议审查。解决工作组之外的更广泛同行安全反馈及最后的文本审核。
正式获批并分配编号出版为 Proposed Standard，成为全球 ACME 客户端与各大 CA 机构普遍遵循的证书颁发标准协议。
各大证书颁发机构 (CA) 支持矩阵
提示：点击下方状态单元格可查看详细的探针探测日志。
| 运行环境 | Let's Encrypt | Google Trust Services | ZeroSSL | BuyPass |
|---|---|---|---|---|
| Staging (测试环境) | 已支持 | 已支持 | N/A (无测试环境) | N/A (已停服) |
| Production (正式环境) | 不支持 | 已支持 | 不支持 | N/A (已停服) |
我们提供了一个开放的、兼容 CORS 的静态 API 接口供您的监控脚本或运维面板集成。您可以随时请求下方的 API 地址，它将实时返回与本站完全同步的 JSON 状态数据。
传统 `dns-01` 的安全隐患
传统的 `dns-01` 验证挑战，在每次证书签发或续期时都需要向域名的 DNS 记录中添加一个随机值的临时 TXT 记录（_acme-challenge）。这意味着您的 Web 服务器、证书自动管理脚本或边缘网关上，必须长期保存拥有高写入权限的 DNS 厂商 API 密钥。如果服务器被攻破，攻击者能控制您的整套 DNS 系统，修改任意记录甚至劫持企业流量，产生了极大的“安全爆炸半径”。
`dns-persist-01` 的安全革命
持久化挑战 `dns-persist-01` 引入了一次性配置机制。域名管理员只需要在 DNS 中添加一条一次性的持久验证记录（_validation-persist），显式授权特定的 CA（如 authority.example）以及该账户的 Hashed Account URI。配置完成后，随后的证书续签完全由 CA 自动验证，Web 服务器不再需要连接或保存任何高危 DNS API 密钥，从生产环境中彻底剥离 DNS 写权限，实现了真正的安全隔离与最小特权原则。
Draft-02 核心强化：密码学哈希绑定
在 2026-09-20 发布的 draft-02 最新规范中，彻底废除了早期明文暴露 account URL 的方案，强制要求采用域名关联的哈希账户标识 H(length_of_domain || domain_name || JWK_Thumbprint || account_URL)。这一机制不仅杜绝了第三方跨域关联追踪域名归属的隐患，还允许第三方 DNS 运维人员在无须任何私钥的情况下安全完成离线预配置（Pre-provisioning）。
DNS 验证记录示例 (RFC 8659 / Draft-02)
* 说明：依据 2026-09-20 发布的 draft-ietf-acme-dns-persist-02，TXT 记录必须采用 RFC 8659 issue-value 语法，accounturi 采用密码学 Hashed URI，杜绝跨域关联并支持离线预配置。