RFC 8555 §8.4 : l’AC interroge l’enregistrement TXT (depuis plusieurs perspectives réseau) et compare sa valeur au condensat attendu. Comme seul le DNS intervient, la méthode fonctionne pour des hôtes injoignables depuis Internet, pour les certificats wildcard (*.example.com est validé à _acme-challenge.example.com) et derrière n’importe quel pare-feu.
Cette méthode exige une automatisation disposant d’un accès en écriture au DNS, généralement via l’API du fournisseur, ce qui est sensible : des identifiants capables de modifier la zone peuvent aussi rediriger le trafic e-mail et web. Les parades courantes sont un CNAME de _acme-challenge.example.com vers une zone dédiée que contrôle le client ACME (acme-dns), et des jetons d’API limités aux enregistrements TXT.
Les échecs viennent généralement de la propagation (les résolveurs de l’AC voient une ancienne réponse d’un serveur secondaire), de plusieurs valeurs TXT laissées par des tentatives précédentes, d’une mauvaise délégation de zone pour les sous-domaines et d’erreurs DNSSEC, que l’AC doit traiter comme un échec et non comme une autorisation.