RFC 8555 §8.4：CA（从多个网络视角）查询该 TXT 记录，并将其值与预期的摘要比较。由于只涉及 DNS，这种方法适用于无法从互联网访问的主机和通配符证书（*.example.com 在 _acme-challenge.example.com 处验证），也适用于任何防火墙之后的主机。
这种方法需要对 DNS 具有写权限的自动化流程，通常借助服务商 API 实现，而这很敏感：能够编辑该区域的凭证同样可以重定向邮件和网站流量。常见的缓解措施是：用 CNAME 把 _acme-challenge.example.com 指向由 ACME 客户端控制的专用区域（acme-dns），以及使用范围仅限于 TXT 记录的 API 令牌。
失败通常源于：记录传播（CA 的解析器从辅助服务器拿到旧的应答）、之前尝试遗留下来的多个 TXT 值、子域名的区域委托错误，以及 DNSSEC 错误——CA 必须把 DNSSEC 错误视为失败，而不是视为许可。