Zertifikate

DNS-Editor stellt Zertifikate über ACME aus und weist die Domain per DNS-01 nach: Der nötige Prüfeintrag wird beim Anbieter der Zone gesetzt. Der Vorteil gegenüber HTTP-01 ist, dass der anfordernde Server nicht aus dem Internet erreichbar sein muss — interne Dienste bekommen so öffentlich vertrauenswürdige Zertifikate.

Voraussetzungen

1. Auf Instanzebene eine ACME-Konto-Adresse: DNSE_ACME_EMAIL. Ohne sie ist die Funktion aus.
2. Im Projekt eine Let’s-Encrypt-Konto-E-Mail (Projekt-Einstellungen).
3. Die betroffene Zone muss verwaltet sein und ihr Account funktionieren — der Prüfeintrag wird über den Provider gesetzt.

Ausstellen

Projekt → Zertifikate → Anfordern. Angegeben werden die Namen, die das Zertifikat abdecken soll (SAN-Umfang). Der Rest läuft automatisch: Prüfeintrag setzen, Freigabe abwarten, Zertifikat abholen, Prüfeintrag entfernen.

In Split-DNS-Umgebungen scheitert manchmal die Vorabprüfung der autoritativen Nameserver. Dann hilft eine feste Wartezeit statt der Prüfung:

DNSE_ACME_PROPAGATION=90s

Erneuerung

Zertifikate erneuern sich selbsttätig, bevor sie ablaufen. Nähert sich eines trotzdem dem Ende, geht 14 Tage vorher eine Erinnerung an die Administratoren des Mandanten und an die ACME-Adresse des Projekts — denn dann schlägt die Erneuerung offenbar wiederholt fehl, und genau das muss jemand erfahren.

Herunterladen

Ausgestellte Zertifikate lassen sich als Datei abrufen. Der private Schlüssel wird nicht dauerhaft vorgehalten: Die Ablage ist kurzlebig, und wer das Material erneut braucht, stellt neu aus. Für Anwendungen, die Zertifikate automatisch beziehen sollen, sind ein SDK und ein Deployment-Agent geplant, aber noch nicht gebaut.

Demo-Modus

Mit DNSE_DEMO=on werden selbstsignierte Zertifikate erzeugt. So lässt sich der Ablauf durchspielen, ohne ein echtes ACME-Verzeichnis zu kontaktieren.