acme.sh项目中使用GoDaddy DNS API遇到子域名证书签发问题的分析与解决方案

背景概述

acme.sh作为一款广泛使用的ACME协议客户端工具，常被用于自动化管理Let's Encrypt证书。近期有用户反馈在使用GoDaddy DNS API进行通配符证书签发时，发现对*.subdomain.domain这类二级子域名的证书申请出现异常，而主域名*.domain的签发仍可正常工作。

问题现象

用户通过acme.sh配置包含以下三种域名的证书时：

1. 主域名（mydomain.com）
2. 主域名通配符（*.mydomain.com）
3. 二级子域名通配符（*.subdomain.mydomain.com）

前两种域名能成功添加TXT记录完成验证，但在处理二级子域名时API返回错误：

{"code":"UNKNOWN_DOMAIN","message":"The given domain is not registered, or does not have a zone file"}

根本原因

经技术分析并与GoDaddy官方确认，其近期对DNS API访问策略进行了重要调整：

1. API访问门槛变更：

   • 域名管理API和DNS API现在要求账户至少拥有10个域名，或订阅Premium Discount Domain Club服务
   • 可用性API要求账户拥有50个以上域名

2. 子域名限制：

   • 明确禁止通过API管理子域名记录（如subdomain.domain.com）
   • 仅允许管理注册的根域名（domain.com）及其直接子域（如www.domain.com）

3. 特殊例外：

   • SSL证书验证专用的_acme-challenge记录仍被允许添加
   • 测试环境（OTE/Staging）API不受此限制

影响范围

该变更主要影响以下场景：

• 使用GoDaddy DNS API管理多级子域名（如*.sub.domain.com）证书的用户
• 域名数量不足10个的开发者账户
• 依赖自动化脚本管理子域名DNS记录的业务系统

解决方案建议

临时解决方案

1. 对于通配符证书：

   • 可尝试仅申请*.domain.com证书，该证书通常也适用于所有子域名
   • 通过CNAME记录将_acme-challenge.sub.domain.com指向_acme-challenge.domain.com

2. 测试环境：

   • 使用Let's Encrypt的staging环境进行测试（但生产环境仍需解决）

长期建议

1. 迁移DNS服务：

   • 考虑将DNS解析迁移至其他主流DNS服务商、AWS Route53等对API访问无限制的服务商
   • 选择支持ACME DNS-01验证的DNS提供商

2. 账户升级：

   • 如业务必须使用GoDaddy，可考虑购买额外域名满足API访问门槛
   • 订阅Premium Discount Domain Club服务

3. 技术调整：

   • 改用HTTP-01验证方式（需开放80端口）
   • 对多级子域名改用独立证书而非通配符证书

技术细节说明

在ACME协议中，DNS-01验证要求为每个域名创建特定的TXT记录。当处理*.sub.domain.com时：

1. acme.sh会尝试创建_acme-challenge.sub.domain.com记录
2. GoDaddy API现在会拒绝这类非根域名的操作
3. 验证失败导致证书签发流程中断

总结

GoDaddy API策略的变更反映了其对API资源使用的管控趋势。作为应对，建议用户：

1. 评估当前证书架构对子域名的依赖程度
2. 制定DNS服务迁移计划
3. 关注acme.sh项目更新，了解可能的适配方案

对于自动化证书管理系统的维护者，建议建立多DNS提供商支持架构，以规避单一服务商政策变更带来的风险。