DNS-01 ist eine ACME-Challenge, die die Kontrolle über einen DNS-Namen mithilfe eines TXT-Records nachweist. Die Zertifizierungsstelle muss keine Verbindung zum Webserver herstellen. Damit eignet sich DNS-01 für Server in privaten Netzwerken und für Wildcard-Zertifikate.

Für jeden Namen eines Zertifikatantrags erstellt der ACME-Client vorübergehend einen TXT-Record unter _acme-challenge. Die Zertifizierungsstelle fragt den Record im öffentlichen DNS ab. Wenn der Wert stimmt, wird der Name validiert und das Zertifikat kann ausgestellt werden.

Eine Challenge für app.example.com verwendet zum Beispiel:

dig TXT _acme-challenge.app.example.com

Der genaue Wert wird vom ACME-Client erzeugt. Verwenden Sie keinen Wert aus einer früheren Bestellung erneut.

Die meisten ACME-Clients unterstützen Module für DNS-Provider. Der Client verwendet ein API-Token, erstellt den TXT-Record, wartet auf die DNS-Propagation, beendet die Challenge und entfernt den Record wieder. Bei der Erneuerung wiederholt der Client diesen Ablauf.

Jeder DNS-Provider hat eine eigene API, Authentifizierung und Regeln für die Verwaltung von Records. Wählen Sie das Modul für Ihren Provider aus der Dokumentation des ACME-Clients. Die Seite Externe ACME-Clients enthält ein providerneutrales Beispiel.

Verwenden Sie ein Token, das nur die benötigte DNS-Zone ändern darf. Verwenden Sie nicht das Hauptpasswort, wenn der Provider eingeschränkte Tokens anbietet.

Wenn Ihr DNS-Provider keine geeignete API anbietet, delegieren Sie nur den ACME-Challenge-Namen an einen automatisierbaren DNS-Dienst. Je nach Provider erfolgt dies über einen CNAME- oder NS-Record für _acme-challenge.

Die Haupt-DNS-Zone bleibt damit beim bisherigen Provider, während der ACME-Client eine separate Challenge-Zone aktualisiert. Befolgen Sie die Delegationsanleitungen beider DNS-Provider und prüfen Sie das Ergebnis vor der Zertifikatsanforderung mit dig.

Bei einer manuellen Challenge werden Name und Wert des TXT-Records angezeigt. Sie tragen den Record beim DNS-Provider ein, warten auf die Propagation und setzen anschließend die Zertifikatsanforderung fort.

Manuelles DNS-01 eignet sich für einen ersten Test oder ein selten erneuertes Zertifikat. Für eine unbeaufsichtigte Erneuerung ist es nicht geeignet, weil jede Erneuerung einen neuen Wert und eine weitere DNS-Änderung erfordert.

Prüfen Sie vor DNS-01:

• Die Domain ist öffentlich delegiert und die autoritativen DNS-Server antworten.
• Der DNS-Provider erlaubt TXT-Records an der erforderlichen Stelle.
• CAA-Records erlauben die ausgewählte Zertifizierungsstelle, sofern CAA verwendet wird.
• DNS-Änderungen werden innerhalb der vom ACME-Client erlaubten Zeit sichtbar.
• API-Zugangsdaten liegen nicht in öffentlichen Skripten oder Konfigurationsbeispielen.

Hinweis: Für die öffentliche Zertifikatsvalidierung ist ein öffentlicher DNS-Name erforderlich. Der Webserver kann über Split-DNS trotzdem auf eine private Adresse aufgelöst und aus dem Internet nicht erreichbar sein.

Privates HTTPS erklärt das Split-DNS-Muster. DNS-PERSIST-01 Beta beschreibt einen separaten experimentellen Ansatz, der wiederholte DNS-Änderungen vermeiden kann, wenn der ausgewählte ACME-Client und die Staging-Zertifizierungsstelle dies unterstützen.

Nützliche Standards und Providerreferenzen finden Sie in der Let's-Encrypt-Dokumentation zu Challenges, der ACME-Spezifikation und der acme.sh-Liste der DNS-APIs.