域名绑定
两条记录，
域名就指过来了
绑定域名要在你买域名的那家服务商后台加两条 DNS 记录。这是我们整条流程里 唯一需要你离开后台动手的一步，所以这一页把三家的界面都画出来了 —— 照着自己那家往下找，一格一格填。
第一步
这两条记录各管一件事
证明这个域名是你的
值是我们随机生成的一串字符，只对这个域名有效。DNS 是公开可查的 —— 这条记录存在，就说明你能改这个域名的解析，也就等于你能代表它的所有者。
没有它，任何人都能把别人的域名绑到自己站上。
让访客真的走到你的站
把 www.example.com 这个地址指向我们的服务器。签证书也靠它： 我们顺着这条记录去校验，通过之后自动签发并续期，不需要你上传任何证书文件。
没有它，证书签不下来，域名绑了也打不开。
顺序无所谓，两条都要有。加完回控制台点「我已添加，开始验证」，通常一两分钟就通过。
先看这一格
「主机记录」到底填什么
这一格是整件事里唯一真正会填错的地方，而且两家的规则**相反**。 填错的典型症状：记录加上了、查询也有值，但验证永远是"未找到"—— 因为 DNS 里实际存的是 _icetus-verify.www.example.com.example.com。
腾讯云 / 阿里云 / 华为云 / DNSPod
只填前缀，后面半截系统自动补。填了完整域名就重复了一次。
✗_icetus-verify.www.example.com
✓_icetus-verify.www
Cloudflare / Route 53 / GoDaddy
填完整域名，它不会帮你补后缀。
✗_icetus-verify.www
✓_icetus-verify.www.example.com
记不住就记这一条：控制台里给你的是完整域名。 腾讯云 / 阿里云要把它减掉你自己的域名后缀，Cloudflare 原样粘。 CNAME 那条同理：控制台说 www，腾讯云 / 阿里云填 www， Cloudflare 填 www.example.com。
按服务商
腾讯云 / DNSPod
- 登录腾讯云控制台，搜索框里输入域名解析，进 DNSPod。
- 在「我的域名」里点开你要绑的那个域名。
- 切到「记录管理」页，点「添加记录」。
- 按下图填第一条（TXT），点确定；再点一次「添加记录」填第二条（CNAME）。
cname.icetus.net，结尾不要加句点。 如果这里原来有一条指向别处的 A 记录或 CNAME，先删掉—— 同一个主机记录不能既有 A 又有 CNAME。按服务商
阿里云（云解析 DNS）
- 登录阿里云控制台，搜索云解析 DNS。
- 左边选「域名解析」，找到你的域名，点右边的「解析设置」。
- 点「添加记录」，按下图填。
- 加完 TXT 再加 CNAME，两条都在同一个「解析设置」页面里。
www 已经有一条 A 记录或 CNAME，先把它删掉再添加。按服务商
Cloudflare
- 登录
dash.cloudflare.com，点开你的域名。 - 左侧菜单选「DNS」 → 「Records」 → 「Add record」。
- Type 选完会出现对应字段。Cloudflare 的 Name 要填完整域名， 和腾讯云、阿里云正好相反。
- 加 CNAME 那条时，Proxy status 必须选 DNS only（灰色云朵）。
_icetus-verify.www.example.com， 它不会帮你补后缀。把 example.com 换成你自己的域名。橙云和我们的证书不兼容，这是设计使然
橙云会把你的站包进 Cloudflare 的 CDN，访客看到的是 Cloudflare 的证书、 Cloudflare 的 IP。我们签的证书就永远用不上，也没法验证域名归属。 想要 CDN 加速的话，等你自己的站跑起来、证书通过之后， 可以在 Cloudflare 那边单独配置规则，但验证阶段必须是灰云。
按服务商
其他服务商（华为云、GoDaddy、Namecheap…）
界面各不相同，但字段永远只有这几个，按语义对号入座就行：
- 主机记录 = Host = Name = 前缀。
www或_icetus-verify.www。 - 记录类型 = Type = Record type。
TXT或CNAME。 - 记录值 = Value = Target = Content = Points to。 控制台给什么粘什么。
- TTL 保持默认。改小不会更快，改大只是让以后调整变慢。
一个前提：记录要加在真正管这个域名解析的那一家。 域名在阿里云买、但 NS 已经指向 Cloudflare，那就要去 Cloudflare 加 —— 在阿里云加破头也不生效。不确定的话，问一下当初给你做网站的人， 或者用 nslookup -type=ns example.com 看 NS 指向谁。
最后一步
怎么知道加对了
- 回到控制台「域名」页，点那条域名右侧的「我已添加，开始验证」。
- 通过后状态会从"等待 DNS"变成「已上线」， 证书通常在十分钟内签发。这期间页面会自己刷新，不用你反复点。
- 想自己先查一遍也可以。打开终端，把域名换成你自己的：
dig txt _icetus-verify.www.example.com +shortdig cname www.example.com +short第一条应该输出你从控制台复制的那串字符（带引号是正常的）， 第二条应该输出cname.icetus.net。
刚加完立刻查常常查不到，因为本地和运营商的 DNS 有缓存。等 1–10 分钟再试，别急着改记录 —— 改来改去反而会让缓存更乱。
加错了？
六个最常见的原因
- 提示「TXT 记录未找到」，但面板上明明有
- 九成是主机记录填重了。去查一下实际存的是什么：如果完整名是
_icetus-verify.www.example.com.example.com， 把这条删掉，主机记录改成_icetus-verify.www重加。 - 提示「TXT 值不匹配」
- 记录值复制时多了空格、少了字符，或者引号被当成了值的一部分。 最稳的做法是回控制台点「复制」按钮，再去服务商那边粘。
- 提示「CNAME 未找到」，DNS 面板里却看得到
- Cloudflare 的话先看 Proxy status 是不是橙云。橙云会把 CNAME 隐藏在 Cloudflare 网络后面，对外查不到。
- 一直在「校验中」，十几分钟没动静
- 先确认证书状态是不是
pending。如果同时提示 CAA 相关错误， 说明域名的 CAA 记录不允许我们签发 —— 把letsencrypt.org加进 CAA 白名单，或者删掉 CAA 记录。 - 记录加对了，网站还是打不开
- 可能绑错了站点。一条域名只能指向一个站点，在「域名」页看那条记录下面 写的站点名是不是你要的那个。
- 想直接绑
example.com（不带 www） - 我们不支持根域直接绑定 —— 根域解析不能放 CNAME，硬绑会出现 "证书有了但打不开"。用
www.example.com， 想让人输短地址的话，可以在你的 DNS 商那里把根域 301 到 www。
还卡着？把这两条查出来的结果发给我们
在终端跑上面那两条 dig 命令，把输出截图发到 [email protected]，附上你的域名和绑定的站点名。有这两条结果，基本一眼就能看出卡在哪。