_acme-challenge.madama.cnDNS 直接解析madama.cn.118555529491327488.dcv.aliyun-esa.com,申请失败

错误提示：_acme-challenge.madama.cnDNS 直接解析madama.cn.118555529491327488.dcv.aliyun-esa.com,申请失败，我用当前接入方式：NS已启用
我们为您分配的 DNS 服务器地址为：mount-tai.ns.atrustdns.comgambela.ns.atrustdns.com

你的配置方式大概率是搞错了 DNS 记录的“值”。你提到“直接解析 madama.cn.118555529491327488.dcv.aliyun-esa.com”，这里的 madama.cn 和 .118555529491327488 之间缺少了必要的 . 分隔符，这会导致 CNAME 指向一个无效的域名。

结合你提到的 NS 服务器是 atrustdns.com，这看起来是阿里云的权威 DNS 服务。请按下面的方式检查和修正。

正确的记录值格式

对于 Let's Encrypt 证书，主机记录为 _acme-challenge（如果是泛域名，通常填 _acme-challenge 即可覆盖；如果是特定子域名如 www.madama.cn，则填 _acme-challenge.www）。

记录值必须严格写成：

madama.cn.118555529491327488.dcv.aliyun-esa.com

关键点：madama.cn 后面必须有一个英文句点 .，然后才接你的 ESA 站点 ID 和后续的 dcv.aliyun-esa.com。

可能失败的其他原因

即使值写对了，也可能因为以下原因导致验证卡住：

1. 记录未生效或缓存未刷新
DNS 解析需要时间，通常几分钟到 10 分钟不等。你可以在本地电脑或服务器上用 dig 命令检查解析是否已经指向了正确的 ESA 地址：

dig _acme-challenge.madama.cn CNAME

如果返回的 ANSWER SECTION 里的值和你在 DNS 面板填写的记录值一致，说明生效了。

2. 存在冲突记录（CNAME 与 TXT 冲突）
这是很隐蔽的坑：同一主机记录（如 _acme-challenge）不能同时存在 CNAME 和 TXT 记录。如果你之前在别处申请证书时留下过 _acme-challenge 的 TXT 记录，需要先删除它，否则新的 CNAME 记录可能无法正常解析。

3. 未手动触发申请
配置好 CNAME 后，ESA 不会自动开始验证。你需要回到 ESA 控制台的证书页面，手动点击“申请免费证书”按钮，才会触发 DCV 验证流程。

4. ESA 站点 ID 不对
记录值里的 118555529491327488 必须和你在 ESA 控制台“托管 DCV”区域看到的那串数字完全一致。不同站点或实例的 ID 不同，如果复制错了，验证也会失败。

总结排查顺序

1. 检查 DNS 面板：记录值是否为 madama.cn.118555529491327488.dcv.aliyun-esa.com（注意那个点）。

2. 检查是否有冲突：删除同名的 _acme-challenge 的 TXT 记录。

3. 用 dig 命令确认 CNAME 已在公网生效。

4. 回 ESA 控制台，手动点击“申请证书”触发验证。

如果以上都确认了还是失败，可以检查一下 _acme-challenge.madama.cn 这个记录在 atrustdns.com 的 DNS 面板里，主机记录栏是否只填了 _acme-challenge（对于根域名），或者 _acme-challenge.madama（如果面板要求填写相对主机名而非完整子域名）。