RFC 8555, § 8.4: CA запрашивает TXT-запись (из нескольких точек сети) и сравнивает её значение с ожидаемым дайджестом. Поскольку задействован только DNS, способ работает для хостов, недоступных из интернета, для wildcard-сертификатов (*.example.com проверяется через _acme-challenge.example.com) и за любым межсетевым экраном.
Для этого нужна автоматизация с правом записи в DNS, обычно через API провайдера, а такой доступ требует осторожности: учётные данные, которые позволяют менять зону, позволяют и перенаправить почту и веб-трафик. Обычно риск снижают CNAME-записью с _acme-challenge.example.com на отдельную зону, которой управляет ACME-клиент (acme-dns), и API-токенами с доступом только к TXT-записям.
Сбои обычно связаны с распространением изменений (резолверы CA видят старый ответ вторичного сервера), несколькими TXT-значениями, оставшимися от прежних попыток, неправильным делегированием зоны для поддоменов и ошибками DNSSEC, которые CA обязан считать отказом, а не разрешением.