RFC 8555 §8.4: la CA consulta el registro TXT (desde varias perspectivas de red) y compara su valor con el resumen esperado. Como solo interviene el DNS, funciona para hosts que no son accesibles desde Internet, para certificados comodín (*.example.com se valida en _acme-challenge.example.com) y detrás de cualquier firewall.
Requiere una automatización con acceso de escritura al DNS, normalmente mediante la API del proveedor, y eso es delicado: las credenciales que pueden editar la zona también pueden redirigir el correo y el tráfico web. Las mitigaciones habituales son un CNAME de _acme-challenge.example.com a una zona dedicada que controla el cliente ACME (acme-dns) y tokens de API limitados a los registros TXT.
Los fallos suelen deberse a la propagación (los resolvedores de la CA ven una respuesta antigua de un servidor secundario), a varios valores TXT que quedaron de intentos anteriores, a una delegación de zona incorrecta para los subdominios y a errores de DNSSEC, que la CA debe tratar como un fallo y no como un permiso.