Certbot生成的TXT记录值是什么？公开暴露是否存在安全风险？

这些TXT记录的作用是什么 #

这些是ACME协议DNS-01验证模式下的域名所有权验证凭证：

• 你向CA（比如Let's Encrypt）提交证书申请后，CA会生成随机的挑战字符串，要求你将其添加到_acme-challenge.{你的域名}的TXT解析记录中
• CA在正式签发证书前，会主动查询该域名的TXT记录，只有查询到匹配的挑战值，才会确认你拥有该域名的控制权，进而完成证书签发
• 申请通配符证书时需要同时验证主域名和通配符覆盖的域名层级，所以会生成多个不同的挑战值

公开暴露这些记录是否安全 #

完全没有安全风险，原因如下：

• 这些挑战值是单次一次性有效的，仅对当前正在进行的这一次证书申请生效，证书签发完成后自动失效，就算第三方拿到也无法冒用你的身份申请新的证书
• ACME DNS-01验证的设计逻辑本身就默认这些TXT记录是公开可查询的，整个流程的安全性并不依赖挑战值的保密性，而是依赖你对域名DNS解析的控制权
• 每次新的证书申请，CA都会生成全新的随机挑战值，历史的旧挑战值没有任何利用价值

是否有方法禁止外界访问这些值 #

没有可行的限制方法，也完全没有必要做限制：

• DNS协议的底层设计就是公开可查询的，所有解析记录（包括TXT记录）默认都没有查询权限控制机制，无法限制第三方查询特定记录
• 你只要在证书验证完成后及时删除对应的_acme-challenge前缀的TXT记录即可，你用的certbot/dns-route53插件默认会自动完成验证后的记录清理，不需要手动操作

内容的提问来源于stack exchange，提问作者Daniel Kim