RFC 8555 §8.4: Die CA fragt den TXT-Eintrag ab (aus mehreren Netzwerkperspektiven) und vergleicht seinen Wert mit dem erwarteten Digest. Weil nur DNS beteiligt ist, funktioniert die Methode für Hosts, die aus dem Internet nicht erreichbar sind, für Wildcard-Zertifikate (*.example.com wird unter _acme-challenge.example.com validiert) und hinter jeder Firewall.
Die Methode erfordert eine Automatisierung mit Schreibzugriff auf das DNS, meist über die API des Providers, und das ist heikel: Zugangsdaten, mit denen sich die Zone bearbeiten lässt, können auch Mail- und Webverkehr umleiten. Übliche Gegenmaßnahmen sind ein CNAME von _acme-challenge.example.com in eine eigene Zone, über die der ACME-Client verfügt (acme-dns), und API-Tokens, die auf TXT-Einträge beschränkt sind.
Fehlschläge entstehen meist durch die Propagation (die Resolver der CA sehen eine alte Antwort eines sekundären Servers), mehrere TXT-Werte, die von früheren Versuchen übrig sind, eine falsche Delegierung der Zone für Subdomains und DNSSEC-Fehler, die die CA als Fehlschlag und nicht als Erlaubnis werten muss.