DNS 与证书排查

将自定义域名加入 Kanorio 后，状态还停在黄色的“等待 DNS 生效中”，或浏览器还没出现安全锁头（HTTPS）吗？这通常不是网站故障，而是全球网络正在同步您的新设置，或是有一条记录需要微调。

本文会先带您看懂后台“DNS 设置”抽屉的自动诊断提示，再提供一套按顺序检查的排查清单。

第一条铁律：千万不要“移除再重新加入”域名！

当看到域名还在“等待 DNS 生效中”或暂时无法访问时，许多人会直觉想把域名“移除，再重新加一次试试看”。请绝对不要这样做：

1. 移除再重加不会解决问题，反而会让等待从头开始：每次新增域名，全球边缘节点都需要重新建立路由与验证排程；如果您在等待途中把它删掉重加，先前的排程会全部作废重算，甚至让部分节点暂存过期状态，导致网站中断延长 10 分钟到 1 小时。
2. 设有 10 分钟安全冷却期：为了防止反复删建造成全网路由异常，同一个域名移除后 10 分钟内无法再次加入（画面会显示倒计时）。
3. 正确做法：想催促系统立刻再看一次，请直接点击“DNS 设置”抽屉左下角（或域名右侧“⋯”菜单）的“立即重新检查”。

看懂“DNS 设置”抽屉的 8 种自动诊断信息

前往“网站设置 › 域名”，点击该域名右侧的“DNS 设置”按钮（也可展开抽屉底部的“查看详情”）。系统会即时探测公开 DNS 并直接告诉您现在卡在哪一步：

1. 显示“DNS 已设置好，等待生效”或“网址已验证，正在签发证书”

• 代表什么：恭喜您！您设置的 CNAME 记录已经完全正确指向 saas.kanorio.com，系统正在等待全球各地运营商缓存更新，并自动向证书机构为您的域名签发免费的 HTTPS 安全锁头（SSL 证书）。
• 您该怎么做：不需要再到域名商改任何东西。 保持目前设置不变，通常 5 到 15 分钟内就会自动变成绿色“已生效”（少数域名商最长可能需要数小时至 24 小时）。在这段期间，当您开着后台页面时系统会每 15 秒自动检查，后台也会每 5 分钟持续重试。

2. 显示“请把 Cloudflare 的云朵改成灰色（仅 DNS）”

• 代表什么：您的域名使用 Cloudflare 管理 DNS，但该条记录开启了橙色云朵（代理模式 / Proxied）。开启橙云时，Cloudflare 会把您指向 saas.kanorio.com 的设置隐藏，对外只报 Cloudflare 自己的代理 IP，导致 Kanorio 无法确认您的域名已经指过来，也会拦截自动签发证书的验证。
• 您该怎么做：登录您的 Cloudflare 后台 →“DNS”→“Records”，找到指向 saas.kanorio.com 的那条 CNAME 记录，按编辑并把橙色云朵点一下切换成“灰色云朵（仅 DNS / DNS Only）”后保存。改完后回到 Kanorio 点击“立即重新检查”，几分钟内就会生效。 (注：Kanorio 平台本身已经内置全球边缘 CDN 加速、DDoS 缓解与自动 SSL 防护，设为灰色云朵完全不会降低网站速度或安全性。)

3. 显示“A 记录无法通过验证”或“请删除 A 记录”

• 代表什么：您的域名目前是用 A 记录（IP 地址）指向 Kanorio，或是同一个名称上还留着旧的 A 记录。Kanorio 只接受 CNAME 方式（指向 saas.kanorio.com）绑定，A 记录无法通过自动化证书验证，域名会一直停在等待中。
• 您该怎么做：
  • 如果该域名是 www 或子域名（或您的域名商支持根域名 CNAME／ALIAS）：请到域名商删除那条 A 记录，改为新增类型 CNAME、目标指向 saas.kanorio.com 的记录。
  • 如果该域名是根域名（yourbrand.com）且您的域名商不支持根域名 CNAME：请直接看下一条“建议改用 www”。

4. 显示“建议改用 www.yourbrand.com”

• 代表什么：您输入的是不带 www 的根域名（如 yourbrand.com），但系统检测到您的域名商（例如 GoDaddy、Squarespace 及部分传统域名商）在技术上不允许根域名设置 CNAME 记录。
• 您该怎么做：
  1. 直接点击抽屉上的“改用 www.yourbrand.com”按钮，系统会自动帮您把绑定网址换成 www。
  2. 到您的域名商后台，新增一条名称为 www、类型为 CNAME、目标为 saas.kanorio.com 的记录。
  3. 删除根域名原本指向旧网站的 A 记录，并开启域名商的“网址重定向（URL Forwarding）”功能，将 yourbrand.com 重定向到 https://www.www.yourbrand.com。

5. 显示“请把这条记录的目标改成 Kanorio”或“请把现有记录换成 CNAME”

• 代表什么：这个网址目前在您的域名商后台已经有一条记录，但它还指向别的地方（通常是您以前的旧网站主机，或是域名商预设的停泊画面）。
• 您该怎么做：登录您的域名商 DNS 后台，找到这个名称（www 或 @）现有的记录：
  • 若原本就是 CNAME：直接编辑它，把目标改成 saas.kanorio.com。
  • 若原本是 A 或 AAAA（IPv6）记录：请把原本指向旧主机的 A 与 AAAA 记录删除，再新增一条指向 saas.kanorio.com 的 CNAME 记录。 (注意：只删改网站的 @ 或 www 记录，切勿删除公司邮箱用的 MX 与 TXT 记录。)

6. 显示“请新增一条 TXT 验证记录”

• 代表什么：在某些特殊网络环境（例如该域名先前曾绑定过其他云端服务）下，系统需要额外确认您拥有这个域名，才能完成切换与签发证书。
• 您该怎么做：抽屉上会直接显示一条类型为 TXT 的名称与值。请直接点击复制按钮，到您的域名商 DNS 后台新增这条 TXT 记录（原本设好的 CNAME 记录请一并保留不要删），通常数分钟内就会验证通过。

7. 展开详情显示“CAA 记录限制了可签发证书的机构”

• 代表什么：CAA 记录是域名的一种安全门禁规则，用来限制“只有特定证书机构可以替这个域名发放 SSL 锁头”（一般域名默认不会有这条记录，常见于曾由企业 IT 设置过的域名）。当既有的 CAA 记录没有把 Kanorio 使用的国际证书机构（如 letsencrypt.org、pki.goog）列入允许名单时，安全锁头就会无法签发。
• 您该怎么做：请先与贵公司管理域名的信息人员确认；若无特殊限制，可移除阻挡的 CAA 记录，或联系 Kanorio 客服并附上您目前的 CAA 记录截图，我们会协助您判断需要补上哪一条允许规则。

8. 展开详情显示“DNSSEC 设置有误”或“查询不到名称服务器”

• 代表什么：
  • 查不到域名／名称服务器：请先确认域名名称有没有拼错字、域名是否已经购买完成并缴费（刚买好的全新域名或刚改过名称服务器，有时需要几小时才会写入全球根服务器）。
  • DNSSEC 设置有误：若您曾在域名商开启过高级的 DNSSEC 签名验证，但更换过 DNS 代管商后未移除旧的 DS 记录，会导致全球解析失败。请至域名商后台修正或暂时关闭 DNSSEC。

最快的检查顺序

如果您已经在域名商改好设置，但还是觉得怪怪的（例如手机打得开、电脑打不开，或其中一个网址打不开），请依次检查这 6 点：

1. 确认有没有“改错家后台”

这是最常见的盲点：域名在 A 公司买，但多年前曾把“名称服务器（Nameservers）”指到 B 公司（例如 Cloudflare 或前一家外包厂商的主机）。此时您在 A 公司改破头也不会生效。

• 怎么确认：点开 Kanorio“DNS 设置”抽屉底部的“查看详情”，系统会直接显示目前全球查到的服务商名称或名称服务器（例如 ns.cloudflare.com），请到那个对应的平台修改。

2. 确认同一个名称没有残留“旧的 A 或 AAAA 记录”

如果您的根域名原本留有一条指向旧网站的 IPv4（A 记录）或 IPv6（AAAA 记录），就算您新加了重定向或别名，浏览器每次连接时还是可能“抽签”连到旧的 IPv6 地址，导致网站有时是新的、有时却跳回旧网站或打不开。请确认同名（@ 或 www）底下的旧网站 A 与 AAAA 记录皆已清除。

3. 检查名称栏有没有“重复串接域名”

在绝大多数域名商新增 www 的 CNAME 时，名称字段只要填 www 三个字，系统存盘时会自动在后面补上 .yourbrand.com。如果您在名称栏填了整串 www.yourbrand.com，有些域名商会把它存成 www.yourbrand.com.yourbrand.com，导致永远查不到记录。

4. 检查目标栏结尾是否需要加句点 .（Gandi 与部分传统域名商常见）

在 Gandi 或采用传统区域文件（Zone File）格式的域名商后台，填写 CNAME 目标时若没在结尾加上英文句点 .，系统可能会自动把您的域名接在后面变成 saas.kanorio.com.yourbrand.com（点开 Kanorio 抽屉的“查看详情”会看到“目前查到 CNAME 指向：saas.kanorio.com.yourbrand.com”）。遇到这种情况，请回域名商把目标改填为 saas.kanorio.com.（结尾多一个点）即可。

5. 确认根域名与 www 是否都有处理

yourbrand.com 与 www.yourbrand.com 是两个独立网址。如果您只在 Kanorio 绑定了 www.yourbrand.com，但没有在域名商把 yourbrand.com 设置网址重定向过来，那么当访客只输入 yourbrand.com 时就会打不开。请参考把重定向补上。

6. 用手机移动网络（关掉 Wi-Fi）与无痕窗口测试

您的电脑、办公室路由器与运营商都会缓存旧的 DNS 结果（依旧记录的 TTL 存活时间而定，通常数十分钟到数小时）。当 Kanorio 后台已经显示绿色的“已生效”，但您的电脑却还看到旧画面时，请拿手机关掉 Wi-Fi、改用 4G／5G 移动网络并开启无痕窗口测试 - 如果手机已经能正常打开，就代表设置 100% 成功了，电脑只要等旧缓存过期就会自动恢复正常。

关于 7 天自动清理机制： 如果一个新增的自定义域名连续超过 7 天都没有将 DNS 指向 Kanorio，系统会自动清理这条未完成的设置。日后当您准备好设置 DNS 时，重新点击“新增品牌域名”加入即可。（若您的 CNAME 已经正确指向 Kanorio，系统则会自动延长保留并持续在后台为您重试。）

什么时候该联系客服？（附 2 张必备截图）

如果您遇到以下任一情况，请不必再自己反复尝试，直接通过后台右下角客服或找我们：

• “DNS 设置”抽屉已经显示“DNS 已设置好，等待生效”超过 24 小时仍未启用。
• 抽屉显示 CAA 证书限制、DNSSEC 错误或“这是 Kanorio 系统端的设置问题”。
• 您在域名商后台不确定哪一条旧记录该删、哪一条是公司邮箱不能删。

联系客服时，只要附上这 2 张截图，我们就能最快帮您解决：

1. 域名商后台的“DNS 记录列表”完整截图（看得到类型、名称、目标值）。
2. Kanorio 后台点开“DNS 设置”抽屉的截图（建议点开底部的“查看详情”一起截入）。 (请勿提供任何平台的登录密码或验证码。)

相关文件