Azure Web App托管证书创建失败：Pending certificate expired

问题背景 #

我在Azure上拥有一个Web App，在Hostpoint购买了域名并配置了A记录与TXT记录，网站可正常访问，说明记录配置无误，但缺少安全连接证书。尝试为该域名创建Azure托管证书时，点击验证后提示需最多10分钟完成，但过程中每隔几分钟收到运行通知，1小时后最终失败，提示Create Managed Certificate | | Failed | Pending certificate expired。我已在Hostpoint添加值为0 issue digicert.com的CAA记录，请问可能是什么问题？

可能的原因及解决方向 #

• 域验证DNS同步延迟
  虽然网站可访问（A记录生效），但证书验证依赖的TXT记录可能存在全球DNS节点同步延迟。Azure的证书验证服务可能在部分节点无法获取到最新的TXT记录，导致等待超时。可以用nslookup或dig工具多地区查询TXT记录状态，确认所有节点都已同步，同时清除本地DNS缓存后重试。

• CAA记录配置细节问题
  确认CAA记录的配置是否符合要求：

  • 若为子域名申请证书，需确保CAA记录添加在对应子域名下，或主域名的CAA记录允许子域名继承；
  • 检查是否存在冲突的CAA记录（如同时存在其他CA的issue记录），这会导致DigiCert无法签发证书；
  • 验证Hostpoint平台上的CAA记录格式是否正确，避免多余空格或符号，部分服务商对格式要求严格。

• Web App域名绑定未完成验证
  先确认Azure Web App的自定义域名设置中，该域名已显示验证通过状态。若域名仅添加但未完成所有权验证，证书申请时会触发验证流程超时。可尝试删除域名绑定后重新添加并完成验证，再发起证书申请。

• Azure证书服务临时故障或队列拥堵
  区域级别的证书服务可能存在临时队列拥堵或故障，导致签发超时。可以等待1-2小时后重新申请，或查看Azure状态页面确认相关服务是否正常。

• DNS记录TTL设置过高
  若域名DNS记录的TTL值过高（如超过1小时），会延长记录同步周期。可临时将TTL调低至5分钟左右，完成证书申请后再恢复原设置。

内容的提问来源于stack exchange，提问作者Aleksa