DNS 與憑證排解

把自訂網域加入 Kanorio 後，狀態還停在黃色的「等待 DNS 生效中」，或瀏覽器還沒出現安全鎖頭（HTTPS）嗎？這通常不是網站壞掉，而是全球網路正在同步您的新設定，或是有一筆記錄需要微調。

本文會先帶您看懂後台「DNS 設定」抽屜的自動診斷提示，再提供一套按順序檢查的排查清單。

第一條鐵律：千萬不要「移除再重新加入」網域！

當看到網域還在「等待 DNS 生效中」或暫時打不開時，許多人會直覺想把網域「移除，再重新加一次試試看」。請絕對不要這麼做：

1. 移除再重加不會修好問題，反而會讓等待從頭開始：每次新增網域，全球邊緣節點都需要重新建立路由與驗證排程；如果您在等待途中把它刪掉重加，先前的排程會全部作廢重算，甚至讓部分節點暫存過期狀態，導致網站中斷延長 10 分鐘到 1 小時。
2. 設有 10 分鐘安全冷卻期：為了防止反覆刪建造成全網路由異常，同一個網域移除後 10 分鐘內無法再次加入（畫面會顯示倒數計時）。
3. 正確做法：想催促系統立刻再看一次，請直接點選「DNS 設定」抽屜左下角（或網域右側「⋯」選單）的「立即重新檢查」。

看懂「DNS 設定」抽屜的 8 種自動診斷訊息

前往「網站設定 › 網域」，點擊該網域右側的「DNS 設定」按鈕（也可展開抽屜底部的「查看詳情」）。系統會即時探測公開 DNS 並直接告訴您現在卡在哪一步：

1. 顯示「DNS 已設定好，等待生效」或「網址已驗證，正在簽發憑證」

• 代表什麼：恭喜您！您設定的 CNAME 記錄已經完全正確指向 saas.kanorio.com，系統正在等待全球各地電信商快取更新，並自動向憑證機構為您的網域簽發免費的 HTTPS 安全鎖頭（SSL 憑證）。
• 您該怎麼做：不需要再到網域商改任何東西。 保持目前設定不變，通常 5 到 15 分鐘內就會自動變成綠色「已生效」（少數網域商最長可能需要數小時至 24 小時）。在這段期間，當您開著後台頁面時系統會每 15 秒自動檢查，背景也會每 5 分鐘持續重試。

2. 顯示「請把 Cloudflare 的雲朵改成灰色（僅 DNS）」

• 代表什麼：您的網域使用 Cloudflare 管理 DNS，但該筆記錄開啟了橘色雲朵（代理模式 / Proxied）。開啟橘雲時，Cloudflare 會把您指向 saas.kanorio.com 的設定藏起來，對外只報 Cloudflare 自己的代理 IP，導致 Kanorio 無法確認您的網域已經指過來，也會攔截自動簽發憑證的驗證。
• 您該怎麼做：登入您的 Cloudflare 後台 →「DNS」→「Records」，找到指向 saas.kanorio.com 的那筆 CNAME 記錄，按編輯並把橘色雲朵點一下切換成「灰色雲朵（僅 DNS / DNS Only）」後儲存。改完後回到 Kanorio 點選「立即重新檢查」，幾分鐘內就會生效。 (註：Kanorio 平台本身已經內建全球邊緣 CDN 加速、DDoS 緩解與自動 SSL 防護，設為灰色雲朵完全不會降低網站速度或安全性。)

3. 顯示「A 記錄無法通過驗證」或「請刪除 A 記錄」

• 代表什麼：您的網域目前是用 A 記錄（IP 位址）指向 Kanorio，或是同一個名稱上還留著舊的 A 記錄。Kanorio 只接受 CNAME 方式（指向 saas.kanorio.com）綁定，A 記錄無法通過自動化憑證驗證，網域會一直停在等待中。
• 您該怎麼做：
  • 如果該網域是 www 或子網域（或您的網域商支援根網域 CNAME／ALIAS）：請到網域商刪除那筆 A 記錄，改為新增類型 CNAME、目標指向 saas.kanorio.com 的記錄。
  • 如果該網域是根網域（yourbrand.com）且您的網域商不支援根網域 CNAME：請直接看下一條「建議改用 www」。

4. 顯示「建議改用 www.yourbrand.com」

• 代表什麼：您輸入的是不帶 www 的根網域（如 yourbrand.com），但系統偵測到您的網域商（例如 GoDaddy、Squarespace 及部分傳統網域商）在技術上不允許根網域設定 CNAME 記錄。
• 您該怎麼做：
  1. 直接點擊抽屜上的「改用 www.yourbrand.com」按鈕，系統會自動幫您把綁定網址換成 www。
  2. 到您的網域商後台，新增一筆名稱為 www、類型為 CNAME、目標為 saas.kanorio.com 的記錄。
  3. 刪除根網域原本指向舊網站的 A 記錄，並開啟網域商的「網址轉址（URL Forwarding）」功能，將 yourbrand.com 轉址到 https://www.yourbrand.com。

5. 顯示「請把這筆記錄的目標改成 Kanorio」或「請把現有記錄換成 CNAME」

• 代表什麼：這個網址目前在您的網域商後台已經有一筆記錄，但它還指向別的地方（通常是您以前的舊網站主機，或是網域商預設的停泊畫面）。
• 您該怎麼做：登入您的網域商 DNS 後台，找到這個名稱（www 或 @）現有的記錄：
  • 若原本就是 CNAME：直接編輯它，把目標改成 saas.kanorio.com。
  • 若原本是 A 或 AAAA（IPv6）記錄：請把原本指向舊主機的 A 與 AAAA 記錄刪除，再新增一筆指向 saas.kanorio.com 的 CNAME 記錄。 (注意：只刪改網站的 @ 或 www 記錄，切勿刪除公司信箱用的 MX 與 TXT 記錄。)

6. 顯示「請新增一筆 TXT 驗證記錄」

• 代表什麼：在某些特殊網路環境（例如該網域先前曾綁定過其他雲端服務）下，系統需要額外確認您擁有這個網域，才能完成切換與簽發憑證。
• 您該怎麼做：抽屜上會直接顯示一筆類型為 TXT 的名稱與值。請直接點選複製按鈕，到您的網域商 DNS 後台新增這筆 TXT 記錄（原本設好的 CNAME 記錄請一併保留不要刪），通常數分鐘內就會驗證通過。

7. 展開詳情顯示「CAA 記錄限制了可簽發憑證的機構」

• 代表什麼：CAA 記錄是網域的一種安全門禁規則，用來限制「只有特定憑證機構可以替這個網域發放 SSL 鎖頭」（一般網域預設不會有這筆記錄，常見於曾由企業 IT 設定過的網域）。當既有的 CAA 記錄沒有把 Kanorio 使用的國際憑證機構（如 letsencrypt.org、pki.goog）列入允許名單時，安全鎖頭就會無法簽發。
• 您該怎麼做：請先與貴公司管理網域的資訊人員確認；若無特殊限制，可移除阻擋的 CAA 記錄，或聯絡 Kanorio 客服並附上您目前的 CAA 記錄截圖，我們會協助您判斷需要補上哪一筆允許規則。

8. 展開詳情顯示「DNSSEC 設定有誤」或「查詢不到名稱伺服器」

• 代表什麼：
  • 查不到網域／名稱伺服器：請先確認網域名稱有沒有拼錯字、網域是否已經購買完成並繳費（剛買好的全新網域或剛改過名稱伺服器，有時需要幾小時才會寫入全球根伺服器）。
  • DNSSEC 設定有誤：若您曾在網域商開啟過進階的 DNSSEC 簽章驗證，但更換過 DNS 代管商後未移除舊的 DS 記錄，會導致全球解析失敗。請至網域商後台修正或暫時關閉 DNSSEC。

最快的檢查順序

如果您已經在網域商改好設定，但還是覺得怪怪的（例如手機打得開、電腦打不開，或其中一個網址打不開），請依序檢查這 6 點：

1. 確認有沒有「改錯家後台」

這是最常見的盲點：網域在 A 公司買，但多年前曾把「名稱伺服器（Nameservers）」指到 B 公司（例如 Cloudflare 或前一家外包廠商的主機）。此時您在 A 公司改破頭也不會生效。

• 怎麼確認：點開 Kanorio「DNS 設定」抽屜底部的「查看詳情」，系統會直接顯示目前全球查到的服務商名稱或名稱伺服器（例如 ns.cloudflare.com），請到那個對應的平台修改。

2. 確認同一個名稱沒有殘留「舊的 A 或 AAAA 記錄」

如果您的根網域原本留有一筆指向舊網站的 IPv4（A 記錄）或 IPv6（AAAA 記錄），就算您新加了轉址或別名，瀏覽器每次連線時還是可能「抽籤」連到舊的 IPv6 位址，導致網站有時是新的、有時卻跳回舊網站或打不開。請確認同名（@ 或 www）底下的舊網站 A 與 AAAA 記錄皆已清除。

3. 檢查名稱欄有沒有「重複串接網域」

在絕大多數網域商新增 www 的 CNAME 時，名稱欄位只要填 www 三個字，系統存檔時會自動在後面補上 .yourbrand.com。如果您在名稱欄填了整串 www.yourbrand.com，有些網域商會把它存成 www.yourbrand.com.yourbrand.com，導致永遠查不到記錄。

4. 檢查目標欄結尾是否需要加句點 .（Gandi 與部分傳統網域商常見）

在 Gandi 或採用傳統區域檔（Zone File）格式的網域商後台，填寫 CNAME 目標時若沒在結尾加上英文句點 .，系統可能會自動把您的網域接在後面變成 saas.kanorio.com.yourbrand.com（點開 Kanorio 抽屜的「查看詳情」會看到「目前查到 CNAME 指向：saas.kanorio.com.yourbrand.com」）。遇到這種情況，請回網域商把目標改填為 saas.kanorio.com.（結尾多一個點）即可。

5. 確認根網域與 www 是否都有處理

yourbrand.com 與 www.yourbrand.com 是兩個獨立網址。如果您只在 Kanorio 綁定了 www.yourbrand.com，但沒有在網域商把 yourbrand.com 設定網址轉址過來，那麼當訪客只輸入 yourbrand.com 時就會打不開。請參考把轉址補上。

6. 用手機行動網路（關掉 Wi-Fi）與無痕視窗測試

您的電腦、辦公室路由器與電信商都會暫存舊的 DNS 結果（依舊記錄的 TTL 存活時間而定，通常數十分鐘到數小時）。當 Kanorio 後台已經顯示綠色的「已生效」，但您的電腦卻還看到舊畫面時，請拿手機關掉 Wi-Fi、改用 4G／5G 行動網路並開啟無痕視窗測試 - 如果手機已經能正常打開，就代表設定 100% 成功了，電腦只要等舊快取過期就會自動恢復正常。

關於 7 天自動清理機制： 如果一個新增的自訂網域連續超過 7 天都沒有將 DNS 指向 Kanorio，系統會自動清理這筆未完成的設定。日後當您準備好設定 DNS 時，重新點選「新增品牌網域」加入即可。（若您的 CNAME 已經正確指向 Kanorio，系統則會自動延長保留並持續在背景為您重試。）

什麼時候該聯絡客服？（附 2 張必備截圖）

如果您遇到以下任一情況，請不必再自己反覆嘗試，直接透過後台右下角客服或找我們：

• 「DNS 設定」抽屜已經顯示「DNS 已設定好，等待生效」超過 24 小時仍未啟用。
• 抽屜顯示 CAA 憑證限制、DNSSEC 錯誤或「這是 Kanorio 系統端的設定問題」。
• 您在網域商後台不確定哪一筆舊記錄該刪、哪一筆是公司信箱不能刪。

聯絡客服時，只要附上這 2 張截圖，我們就能最快幫您解決：

1. 網域商後台的「DNS 記錄列表」完整截圖（看得到類型、名稱、目標值）。
2. Kanorio 後台點開「DNS 設定」抽屜的截圖（建議點開底部的「查看詳情」一起截入）。 (請勿提供任何平台的登入密碼或驗證碼。)

相關文件