Zertifikate

DNS-Editor stellt Zertifikate über ACME aus und weist die Domain per DNS-01 nach: Der nötige Prüfeintrag wird beim Anbieter der Zone gesetzt. Der Vorteil gegenüber HTTP-01 ist, dass der anfordernde Server nicht aus dem Internet erreichbar sein muss — interne Dienste bekommen so öffentlich vertrauenswürdige Zertifikate.

Voraussetzungen

1. Auf Instanzebene eine ACME-Konto-Adresse: DNSE_ACME_EMAIL. Ohne sie ist die Funktion aus.
2. Im Projekt eine ACME-Konto-E-Mail (Projekt-Einstellungen).
3. Die betroffene Zone muss verwaltet sein und ihr Account funktionieren — der Prüfeintrag wird über den Provider gesetzt.

Ausstellende Stelle wählen

Wer ausstellt, entscheidet das Projekt unter Management → Projekt-Einstellungen → Ausstellende Stelle. Zur Auswahl stehen:

Stelle	Konto nötig	Laufzeit	Besonderheiten
Let’s Encrypt (Vorgabe)	nein	90 Tage	ACME-Profile, gewünschtes Ablaufdatum, Kettenwahl
ZeroSSL	ja, mit EAB	fest 90 Tage	Wildcards, Kettenwahl; keine Profile, kein Must-Staple
Let’s Encrypt (Testumgebung)	nein	90 Tage	zum Ausprobieren — Browser vertrauen diesen Zertifikaten nicht
Eigenes ACME-Verzeichnis	je nach CA	je nach CA	jede RFC-8555-CA, z. B. Firmen-CA, Buypass, Google Trust Services

Die Wahl gilt als Vorgabe für neue Zertifikate; im Anforderungsdialog lässt sich für ein einzelnes Zertifikat eine andere Stelle nehmen. Optionen, die die gewählte Stelle nicht beherrscht, blendet der Dialog aus — und das Backend weist sie ohnehin ab, statt sie durchzureichen und die Ausstellung später im Hintergrund scheitern zu lassen.

Hinweis

Ein bestehendes Zertifikat merkt sich seine ausstellende Stelle. Erneuerung und Widerruf gehen deshalb immer an dieselbe CA — auch wenn das Projekt inzwischen gewechselt hat. Ein Wechsel wirkt also erst auf neu angeforderte Zertifikate.

ZeroSSL einrichten

ZeroSSL verlangt External Account Binding (EAB): Das ACME-Konto wird an das ZeroSSL-Konto gebunden. Dafür braucht es zwei Werte, eine Key-ID (KID) und einen HMAC-Key.

1. Kostenloses Konto unter https://app.zerossl.com/signup anlegen.
2. In den Projekt-Einstellungen ZeroSSL als ausstellende Stelle wählen.
3. Entweder KID und HMAC-Key aus dem ZeroSSL-Dashboard (Bereich Developer) eintragen — oder „Zugangsdaten bei ZeroSSL holen” klicken; DNS-Editor erzeugt sie dann über die ZeroSSL-API. Mit hinterlegtem API-Key gehören sie zum eigenen Konto, ohne ihn wird die Konto-E-Mail von oben benutzt.
4. Speichern. Ab jetzt stellt ZeroSSL aus.

Achtung

ZeroSSL zeigt EAB-Zugangsdaten nur einmal an und speichert sie selbst nicht. DNS-Editor legt sie envelope-verschlüsselt ab und gibt sie nie wieder heraus — die Oberfläche zeigt nur eine maskierte Key-ID.

Grenzen von ZeroSSL, die im Alltag auffallen:

• Feste Laufzeit von 90 Tagen. Der ACME-Endpunkt heißt nicht ohne Grund DV90; ein gewünschtes Ablaufdatum nimmt er nicht entgegen.
• Keine ACME-Profile. Profile sind eine Erweiterung von Let’s Encrypt.
• Höchstens sechs Subdomain-Ebenen unterhalb der Public Suffix.
• Kein OCSP Must-Staple — jedenfalls nicht dokumentiert, deshalb bieten wir es dort nicht an.

Eigene CA

Für eine Firmen-CA oder einen anderen Anbieter: Eigenes ACME-Verzeichnis wählen und die Directory-URL eintragen (muss mit https:// beginnen). Verlangt die CA EAB, kommen KID und HMAC-Key in dieselben Felder wie bei ZeroSSL. Wir raten hier nichts über Fähigkeiten — alle Optionen bleiben wählbar, und ein Fehler der CA wird unverändert durchgereicht.

Ausstellen

Projekt → Zertifikate → Anfordern. Angegeben werden die Namen, die das Zertifikat abdecken soll (SAN-Umfang), und wahlweise eine andere ausstellende Stelle als die Projektvorgabe. Der Rest läuft automatisch: Prüfeintrag setzen, Freigabe abwarten, Zertifikat abholen, Prüfeintrag entfernen.

In Split-DNS-Umgebungen scheitert manchmal die Vorabprüfung der autoritativen Nameserver. Dann hilft eine feste Wartezeit statt der Prüfung:

DNSE_ACME_PROPAGATION=90s

Erneuerung

Zertifikate erneuern sich selbsttätig, bevor sie ablaufen. Nähert sich eines trotzdem dem Ende, geht 14 Tage vorher eine Erinnerung an die Administratoren des Mandanten und an die ACME-Adresse des Projekts — denn dann schlägt die Erneuerung offenbar wiederholt fehl, und genau das muss jemand erfahren.

Herunterladen

Ausgestellte Zertifikate lassen sich als Datei abrufen. Der private Schlüssel wird nicht dauerhaft vorgehalten: Die Ablage ist kurzlebig, und wer das Material erneut braucht, stellt neu aus. Für Anwendungen, die Zertifikate automatisch beziehen sollen, sind ein SDK und ein Deployment-Agent geplant, aber noch nicht gebaut.

Demo-Modus

Mit DNSE_DEMO=on werden selbstsignierte Zertifikate erzeugt. So lässt sich der Ablauf durchspielen, ohne ein echtes ACME-Verzeichnis zu kontaktieren.