/.well-known/pki-validation/ dizini, HTTP tabanlı alan adı doğrulamasında CA'nın doğrulama dosyasını aradığı standart konumdur. Dosya burada yoksa veya erişilemiyorsa doğrulama tamamlanmaz.
Nasıl çalışır?
CA, alan adınızın 80 (bazı yöntemlerde 443) numaralı portuna bir istek atar ve dosyanın içeriğini beklediği değerle karşılaştırır. Dosya adı ve içeriği sipariş başına üretilir; bu yüzden başka bir siparişin dosyası kullanılamaz.
- Tam yol:
http://ornek.com/.well-known/pki-validation/ORNEK.txt - Yanıt kodu 200 olmalı, içerik düz metin olarak dönmelidir.
- Yönlendirmeler bazı CA'larda sınırlı takip edilir; aynı alan adı içinde kalmak güvenlidir.
Web sunucusu örnekleri
Nginx'te uygulama yönlendirmesi varsa doğrulama yolunu statik servis edin:
location ^~ /.well-known/pki-validation/ {
root /var/www/ornek;
default_type text/plain;
allow all;
}Apache tarafında gizli dosyaları engelleyen kurallar (RedirectMatch 404 /\..*$ gibi) bu dizini de kapatabilir; .well-known için istisna ekleyin.
IIS'te .txt uzantısı çoğu zaman tanımlıdır, ancak uzantısız veya farklı uzantılı dosyalar için MIME türü eklemeniz veya statik içeriği açmanız gerekebilir. Noktayla başlayan klasör adı bazı Windows araçlarında oluşturulamaz; komut satırından mkdir .well-known kullanın.
Test ve sorun giderme
curl -i http://ornek.com/.well-known/pki-validation/ORNEK.txt- 404: klasör yanlış belge kökünde veya yönlendirme kuralı araya giriyor.
- 403: dosya izinleri veya güvenlik duvarı.
- 301/302 ile farklı alan adına gidiş: doğrulamayı bozabilir.
Test sonucunu SSL sorun giderme aracıyla da karşılaştırabilirsiniz. HTTP erişimini kapalı tutan sunucularda DNS yöntemi daha pratiktir.