DNS-PERSIST-01 ist eine experimentelle ACME-Challenge für Domains, bei denen Sie einmalig einen öffentlichen DNS-TXT-Record anlegen können, aber keine DNS-API für regelmäßige Änderungen bereitstellen möchten.

Wichtig: Diese Beta verwendet ausschließlich Let's Encrypt Staging. Das ausgestellte Zertifikat wird von normalen Browsern und Anwendungen nicht vertraut. Es wird separat gespeichert und ersetzt niemals das aktive HTTPS-Zertifikat.

• Sie kontrollieren eine öffentliche DNS-Domain und dürfen TXT-Records anlegen.
• Sie verwenden exakte, vollständig qualifizierte Domainnamen (FQDNs).
• Wildcards, IP-Adressen und rein interne Namen sind nicht unterstützt.
• Ein nicht vertrauenswürdiges Staging-Zertifikat reicht für Ihren Test aus.

Für produktive Zertifikate verwenden Sie weiterhin automatisiertes DNS-01, einen externen ACME-Client oder eine andere auf dieser Hilfeseite beschriebene Lösung.

1. Öffnen Sie die Konfiguration des Webservers.
2. Wählen Sie unter Zertifikats-Quelle den Eintrag Let's Encrypt DNS (Beta).
3. Starten Sie die Aktion Let's-Encrypt-DNS-Zertifikat anfordern.
4. Geben Sie die exakten FQDNs ein und bestätigen Sie die Bedingungen der Zertifizierungsstelle mit OK.
5. Ein zweiter Dialog zeigt für jeden Namen den vollständigen Recordnamen und TXT-Wert an.
6. Legen Sie diese TXT-Records beim autoritativen DNS-Provider an. Kopieren Sie die Werte vollständig und verändern Sie sie nicht.
7. Warten Sie, bis öffentliche DNS-Resolver die Records liefern.
8. Wählen Sie im weiterhin geöffneten Dialog OK. Erst jetzt prüft der Server die öffentliche DNS-Auflösung und fordert das Zertifikat an.
9. Nach erfolgreicher Prüfung stellt der Server das Staging-Zertifikat aus und speichert es getrennt vom aktiven Zertifikat.

Mit Abbrechen verwerfen Sie die noch nicht ausgestellte Anfrage und den dazugehörigen lokalen Zustand. Bereits beim DNS-Provider angelegte TXT-Records kann der Server nicht entfernen; löschen Sie diese dort bei Bedarf selbst. Ein bereits ausgestelltes Zertifikat und dessen Erneuerungszustand werden durch Abbrechen nicht gelöscht.

Wenn der TXT-Record beim Bestätigen noch nicht gefunden wird, wurde Let's Encrypt zu diesem Zeitpunkt noch nicht kontaktiert. Der Server wiederholt zunächst seine eigene DNS-Prüfung. Bleibt sie erfolglos, warten Sie die beim DNS-Provider angegebene TTL beziehungsweise Propagierungszeit ab und prüfen Sie den angezeigten vollständigen Namen und Wert. Auch ein zuvor zwischengespeichertes „nicht vorhanden“ kann bis zum Ablauf der negativen Cache-Zeit sichtbar bleiben.

Da die Beta ausschließlich ein Staging-Zertifikat erzeugt, kann diese Auswahl nicht als aktive HTTPS-Zertifikatsquelle gespeichert werden. Wechseln Sie vor dem Speichern wieder zu Ihrer produktiven Zertifikatsquelle; das aktive Zertifikat bleibt unverändert. Wenn bereits eine noch nicht abgeschlossene Einrichtung für andere Namen besteht, können Sie sie bewusst ersetzen. Dadurch werden neue Recordwerte erzeugt; nicht mehr benötigte alte Records entfernen Sie erst, nachdem die neue Einrichtung funktioniert.

Nach erfolgreicher Einrichtung bleibt der angezeigte TXT-Record im DNS bestehen. Eine tägliche Aufgabe im Task Planner prüft das isolierte Staging-Zertifikat und erneuert es bei Bedarf, ohne den DNS-Record erneut zu ändern. Die Aufgabe bleibt für die eingerichtete Beta verfügbar, auch wenn wieder eine produktive Zertifikatsquelle ausgewählt ist. Sie warnt außerdem 60 und 30 Tage vor Ablauf der persistenten DNS-Autorisierung.

Entfernen oder ändern Sie den TXT-Record nicht, solange die Beta weiter erneuern soll. Bei einem Wechsel des ACME-Kontos, des DNS-Anbieters oder der Domainkonfiguration kann eine neue Einrichtung erforderlich sein.

Das persistente ACME-Konto ist an die Systemidentität dieser Installation gebunden. Ein Backup kann deshalb nur auf derselben Systemidentität wiederhergestellt werden. Für die Übernahme auf ein anderes System richten Sie die Beta dort neu ein und verwenden die neu angezeigten TXT-Records.

Die Beta aktiviert ihr Zertifikat absichtlich nicht und ändert weder die HTTPS-Konfiguration noch den laufenden Webserver. Ein erfolgreicher Test beweist daher den Challenge- und Renewal-Ablauf, liefert aber kein produktiv verwendbares Zertifikat.

Eine spätere Produktionsfreigabe erfordert einen separaten Schritt und kann einen neuen DNS-Record benötigen. Staging- und Produktionskonten sowie deren Autorisierungen sind getrennt.

Der IETF-Draft beschreibt das experimentelle Protokoll. Prüfen Sie vor einer späteren produktiven Nutzung zusätzlich den aktuellen Status bei der Zertifizierungsstelle.