Validação de Domínio (DCV)¶
Antes de emitir qualquer certificado, toda Autoridade Certificadora (CA) precisa confirmar uma coisa: que quem está pedindo o certificado de fato controla o domínio. Esse processo se chama DCV — Domain Control Validation (Validação de Controle de Domínio), e é obrigatório para todos os tipos de certificado, DV, OV ou EV.
Por que essa etapa existe¶
Sem o DCV, qualquer pessoa poderia solicitar um certificado para banco.com.br sem nunca ter controlado o domínio — o que quebraria a garantia inteira que o SSL/TLS existe para dar. O DCV é a barreira que impede isso: a CA só emite o certificado depois de receber uma prova de controle que só o dono do domínio consegue fornecer.
Existem três métodos aceitos. A InteSys orienta e acompanha os três até a emissão.
Método DNS (CNAME/TXT): o mais comum e recomendado¶
A CA fornece um valor único (um registro CNAME ou TXT) que você publica na zona DNS do domínio. A CA consulta o DNS público, encontra o registro e confirma o controle.
Por que é o método preferido:
- não depende de uma caixa de e-mail específica estar ativa;
- funciona mesmo para domínios sem e-mail configurado;
- pode ser automatizado em renovações futuras, quando o provedor DNS suporta API;
- é o método mais previsível para ambientes com múltiplos subdomínios ou Wildcard.
A propagação do registro DNS pode levar de alguns minutos a algumas horas, dependendo do TTL configurado na zona — esse é o principal motivo de demora nesse método, não uma limitação da CA.
Método e-mail: para quais endereços é enviado¶
A CA envia um e-mail de confirmação para um conjunto pré-definido de endereços administrativos do domínio, como:
Ou para o e-mail de contato registrado no WHOIS do domínio, quando disponível publicamente. O solicitante clica no link de confirmação recebido, e a validação é concluída imediatamente após o clique.
Ponto de atenção: se nenhum desses endereços estiver ativo ou monitorado, o método falha silenciosamente até alguém verificar a caixa — o método DNS costuma ser mais confiável quando não há certeza de que essas caixas são checadas regularmente.
Método upload de arquivo: quando usar¶
A CA fornece um arquivo com um nome e conteúdo específicos, que deve ser publicado em um caminho pré-determinado do servidor web, geralmente:
A CA acessa essa URL via HTTP e confirma o conteúdo. É uma boa alternativa quando você tem acesso ao servidor web mas não tem acesso rápido ao painel de DNS — por exemplo, DNS gerenciado por outra equipe ou fornecedor.
O que muda para OV e EV¶
Para certificados DV, o DCV é a única verificação — confirmado o controle do domínio, a emissão é praticamente imediata.
Para OV e EV, o DCV continua obrigatório, mas é apenas a primeira etapa. A CA soma uma verificação adicional da existência legal da empresa, através de:
- consulta a registros governamentais/empresariais (CNPJ, Junta Comercial ou equivalente);
- confirmação por telefone em alguns casos, para EV;
- verificação adicional de identidade do solicitante, para EV.
É por isso que OV leva de 1 a 3 dias úteis e EV de 3 a 5 dias úteis para emitir, enquanto DV pode sair em minutos — o domínio é validado da mesma forma nos três casos, mas OV e EV acrescentam a checagem da empresa por cima.
Por que o DCV está se repetindo com mais frequência¶
Uma CA pode, dentro de certos limites, reaproveitar uma validação de domínio já feita em vez de repetir o DCV inteiro a cada emissão. O CA/Browser Forum reduziu drasticamente esse prazo de reaproveitamento: de 398 dias para apenas 10 dias para validação de domínio (a validação de existência da empresa em OV/EV permanece em 398 dias por enquanto).
Na prática, isso significa que quase toda reemissão — mesmo dentro de uma assinatura de vários anos com reemissão automática — precisa repetir o DCV, porque a validação anterior já não está mais dentro da janela de reaproveitamento. Ambientes que dependem do método DNS com API automatizada sentem menos esse impacto: o registro é recriado e confirmado sem intervenção manual a cada ciclo. Ambientes que validam por e-mail ou upload manual de arquivo vão precisar repetir essa ação a cada poucos meses, não a cada ano.
Como a InteSys acompanha o processo até a emissão¶
Ao solicitar um certificado com a InteSys, nosso time:
- identifica o método de DCV mais adequado ao seu ambiente (DNS na maioria dos casos);
- fornece o registro, endereço de e-mail ou arquivo exigido pela CA;
- acompanha a propagação/confirmação até a CA reconhecer a validação;
- para OV/EV, orienta sobre a documentação adicional que a CA pode solicitar;
- entrega o certificado emitido, pronto para instalação.
Você não fica sozinho editando registros DNS ou interpretando exigências da CA — a validação hoje ainda passa por essas etapas manuais, mas conduzidas junto com nossa equipe.
Peça seu certificado e nossa equipe conduz o DCV até a emissão — veja os certificados SSL da InteSys
Próximos Passos¶
- Certificados SSL — visão geral dos tipos disponíveis
- Qual Certificado Escolher — DV, OV, EV, Wildcard ou Multi-Domínio
- Instalando seu Certificado — o que fazer depois que o certificado é emitido