CAA 记录导致 Shopify 证书签发失败怎么处理

现象#

域名已正确解析到 Shopify，但 SSL 一直「待处理」，证书签发日志显示未授权。

原因#

• 域名配置了 CAA 记录，只允许特定 CA 签发
• CAA 未包含 letsencrypt.org 或 Shopify 使用的 CA
• CAA 记录写在了子域名上覆盖了主域

处理步骤#

1. 用 dig CAA example.com 查看现有记录
2. 添加 0 issue "letsencrypt.org"，或临时删除 CAA 记录
3. 等待 DNS 传播后在后台重新触发证书签发
4. 签发成功后按需收紧 CAA，但保留所需 CA

验收标准#

SSL 状态变为已签发，https:// 访问无证书告警，openssl s_client 能取到有效证书。