RFC 8555 §8.4 では、CA が（複数のネットワーク視点から）TXT レコードを問い合わせ、その値を期待されるダイジェストと比較します。DNS しか関与しないため、インターネットから到達できないホスト、ワイルドカード証明書（*.example.com は _acme-challenge.example.com で検証されます）、そしてどんなファイアウォールの内側でも使えます。
DNS への書き込み権限を持つ自動化が必要で、通常はプロバイダーの API を使いますが、これは慎重な扱いを要します。ゾーンを編集できる認証情報があれば、メールや Web のトラフィックをリダイレクトすることもできるからです。よく使われる対策は、_acme-challenge.example.com から ACME クライアントが管理する専用ゾーンへの CNAME（acme-dns）と、TXT レコードだけにスコープを限定した API トークンです。
失敗の原因は、たいてい次のいずれかです。反映の遅れ（CA のリゾルバーがセカンダリサーバーから古い応答を受け取る）、以前の試行で残った複数の TXT 値、サブドメインのゾーン委任の誤り、そして DNSSEC のエラーです。DNSSEC のエラーは、CA が許可ではなく失敗として扱わなければなりません。