Pela RFC 8555 §8.4, a CA consulta o registro TXT (a partir de várias perspectivas de rede) e compara o valor com o digest esperado. Como só o DNS está envolvido, o método funciona para hosts que não são acessíveis pela internet, para certificados curinga (*.example.com é validado em _acme-challenge.example.com) e atrás de qualquer firewall.
O método exige automação com acesso de escrita ao DNS, normalmente pela API do provedor, o que é delicado: credenciais capazes de editar a zona também podem redirecionar o tráfego de e-mail e web. As mitigações comuns são um CNAME de _acme-challenge.example.com para uma zona dedicada controlada pelo cliente ACME (acme-dns) e tokens de API restritos a registros TXT.
As falhas costumam vir da propagação (os resolvedores da CA veem uma resposta antiga de um servidor secundário), de vários valores TXT deixados por tentativas anteriores, de uma delegação de zona incorreta para subdomínios e de erros de DNSSEC, que a CA deve tratar como falha, e não como permissão.