Trin 6 af 8

6. Bevis, at domænet er jeres

CA’en kontrollerer, at I ejer domænet, før den udsteder et certifikat. Har domænet en CNAME viderestilling, klarer sslbrain kontrollen selv ved hver udstedelse og fornyelse.

Før I starter

Adgang til at oprette poster i DNS for domænet.
Til en DNS-API-adgang: en API-nøgle fra DNS-udbyderen og rollen Owner i sslbrain (roller).

Vælg vej

Brug en CNAME viderestilling. Den virker hos alle DNS-udbydere, og sslbrain får aldrig en nøgle til jeres DNS.

Brug en DNS-API-adgang, hvis domænet ligger hos en af de indbyggede udbydere, og I hellere giver sslbrain en API-nøgle end opretter CNAME-poster.

Bruger jeres CA-konto dns-persist-01, kan I i stedet oprette én fast TXT-post pr. CA-konto: dns-persist-01.

CNAME viderestilling

Posten oprettes én gang pr. domæne og skal ikke røres igen.

Åbn Domænevalidering under Opsætning › Certifikatudstedelse, og vælg fanen CNAME viderestilling (Auto-DNS).
Skriv navnene på certifikatet i Domæne, adresse eller navne under Test et domæne, fx www.example.dk eller *.example.dk. Der kan stå højst 5 ad gangen. Klik på Tjek domæne.
Testen viser de poster, der mangler. Opret dem hos jeres DNS-udbyder. For example.dk ser posten sådan ud:
```
_acme-challenge.example.dk.  3600  IN  CNAME  <CNAME-mål>
```
Sætter DNS-panelet selv domænet på navnet, så skriv kun _acme-challenge i navnefeltet. Værdien er CNAME-målet præcis, uden noget efter.
Lad Tjek domæne køre. Den tjekker igen hvert 30. sekund i op til 20 minutter.
Når testen melder Klar til certifikat, klik på Opret certifikat for …. Den åbner reglens guide i trin 8.

DigiCert-produkter via sslbrain Cloud bruger posten _dnsauth.<domæne>. Tjek domæne tjekker begge navne og viser, hvilken jeres certifikatkilder læser.

DNS-API

sslbrain opretter valideringsposten hos DNS-udbyderen med jeres API-nøgle og fjerner den igen efter udstedelsen. Nøglen ligger krypteret i appliancens vault.

Opret en API-nøgle hos DNS-udbyderen med de rettigheder, der står under udbyderen.
Åbn Domænevalidering, fanen DNS-API credentials, og klik på Tilføj DNS-API adgang.
Giv adgangen et Navn, fx Cloudflare produktion. Vælg DNS API (anbefalet til certifikater) under Type og udbyderen under DNS-udbyder.
Udfyld udbyderens felter med nøglerne fra trin 1. Vælg Direkte fra appliancen under Forbindelse og Automatisk (anbefalet) under DCV-tilstand.
Skriv de zoner, adgangen skal bruges til, i Zone-bindinger (en pr. linje, valgfrit). Er det jeres første adgang, så slå Brug som standard for alle DNS-validering (anbefalet for første credential) til.
Klik på Gem. Klik derefter på Test adgang og på Hent zoner. Listen skal vise jeres domæner.

Et navn bruger adgangen med den længste zone-binding, der passer, og ellers den adgang, der er sat som standard. Har navnet en CNAME viderestilling, bruges den før en DNS-API-adgang.

dns-persist-01

Med dns-persist-01 (IETF-udkast) opretter I én TXT-post på domænet, og den bliver stående. Posten peger på jeres konto hos CA’en, og så længe den findes, kan kontoen få certifikater til domænet uden en ny DNS-ændring ved hver fornyelse. sslbrain opretter ikke posten for jer.

Hver CA-konto har sin egen post. Bruger I flere CA’er eller konti, skal hver af dem have sin post på hvert domæne. Posten hedder _validation-persist foran domænet:

_validation-persist.example.dk.  3600  IN  TXT  "<værdien fra fanen>"

Åbn Domænevalidering, og vælg fanen dns-persist-01. Fanen viser et kort pr. CA-konto: Konto i sslbrain Cloud eller Direkte ACME-konto på denne appliance.
Klik på Kopier ved Værdi. Værdien er klar til at indsætte og skal ikke rettes.
Opret TXT-posten _validation-persist.<domæne> med værdien hos jeres DNS-udbyder, og lad den stå, så længe I bruger kontoen.
Se Status for domænet på kortet. Et domæne, der ikke står i listen, kan I tjekke under Tjek et domæne.

Hvilke CA’er fanen viser en post for:

Google Trust Services: værdien har formen pki.goog; accounturi=<konto-URL>; policy=wildcard. Med policy=wildcard gælder én post på domænet for selve domænet, alle dets underdomæner og wildcard-certifikater.
DigiCert via sslbrain Cloud: værdien har formen digicert.com; accounturi=<konto-URL>. sslbrain Cloud henter den hos DigiCert, når kontoen findes, og DigiCert udleverer den først, når kontoen har sit første domæne. Indtil da står der, hvorfor værdien mangler. Kan sslbrain Cloud ikke vise værdien for jeres egen DigiCert-konto, finder I den i DigiCert CertCentral.
Andre CA’er: fanen viser først en post, når CA’en tilbyder dns-persist-01 i drift. Let’s Encrypt gør det ikke endnu.

Har CA’en en meddelelse om metoden, står den i den gule boks øverst på kortet. Google Trust Services skriver fx, at dns-persist-01 endnu ikke er fuldt standardiseret, og at I måske skal opdatere posten, når den endelige specifikation kommer.

Status pr. domæne:

Passer: posten er på plads. I skal ikke gøre mere.
Anden værdi: der findes en post, men med en anden værdi. Fanen viser den fundne værdi under Fundet i stedet. Står der Posten findes, men uden den forventede policy, mangler fx policy=wildcard. Ret posten til den kopierede værdi.
Mangler: der er ingen post. Opret den som i trin 3.
Ikke tjekket: domænet nåede ikke at blive læst. Tjek det under Tjek et domæne.

Viser status, at domænets CAA-poster ikke tillader CA’en, står de poster, der skal tilføjes, under statussen.

Direkte ACME-konti på appliancen regner appliancen selv posten ud for, så de vises også, når appliancen ikke er forbundet til sslbrain Cloud, eller Cloud er nede. Kan sslbrain Cloud ikke nås, viser fanen de poster, der sidst blev læst, med tidspunktet under De viste poster blev læst. De kan være ændret siden. Klik på Læs igen for at hente dem på ny. Har appliancen ingen tidligere kopi, står der, at posterne ikke kunne læses. Det betyder ikke, at der ikke skal oprettes poster; prøv igen om lidt.

Jeres egen DNS-server

En DNS-server som BIND kan opdateres med RFC 2136 og en TSIG-nøgle: Domæner uden DNS-API.

Et script i stedet for en udbyder

En DNS-API-adgang kan køre et script på appliancen: Domæner uden DNS-API.

En udbyder, sslbrain ikke kender

Har DNS-udbyderen et REST-API, kan I selv beskrive det under Ny custom REST DNS-udbyder…: Domæner uden DNS-API.

Hvis det fejler

Tjek domæne finder ingen CNAME viderestilling, eller den peger forkert: testen siger, hvad der er galt, fx at DNS-panelet har sat domænet på to gange. Ret posten, og lad testen køre igen.
Domænet ligger hos Cloudflare: sæt posten til “DNS only”. Med proxy slået til svarer navnet med en A-record, og valideringen fejler.
Der ligger en TXT-post på _acme-challenge.<domæne>: slet den. Kun CNAME-posten må ligge der.
CAA-poster spærrer for udstederen: testen viser, hvilke CAA-poster der skal tilføjes. Se CAA-opslag.
Appliancen er ikke forbundet til sslbrain Cloud: CNAME viderestilling virker kun med forbindelsen. Forbind appliancen som i trin 2.
Alle CNAME viderestillinger holder op med at virke på én gang: label i CNAME-målet er ændret i sslbrain Cloud. Ret posterne til det mål, kortet Label og CNAME-mål viser.
DNS-udbyderen tillader kun kendte IP-adresser: vælg Kør via sslbrain Cloud-proxy under Forbindelse. sslbrain Cloud kalder så udbyderen fra en fast IP-adresse med HTTPS på port 443. Kan proxyen ikke nås, fejler kaldet. Det sendes aldrig direkte i stedet.
Certifikatet bliver ikke bestilt: hverken en CNAME viderestilling eller en DNS-API-adgang dækker navnet. Certifikatet viser hvorfor.
Licensen Free: den dækker 2 domæner pr. sslbrain Cloud-konto. Se domænegrænsen.
Certifikatet står og venter, eller udstedelsen fejler med en valideringsfejl: se Validering fejler.

Indbyggede DNS-udbydere

Felterne står på engelsk i formularen og hedder det samme her. Felter med * skal udfyldes. Azure DNS er ikke indbygget. Brug CNAME viderestilling til domæner i Azure DNS.

Abion

Abion API Key *, som Abion udsteder til deres Partner Management API.

AWS Route 53

AWS Access Key ID * og AWS Secret Access Key * for en IAM-bruger eller -rolle med route53:ChangeResourceRecordSets på zonerne. AWS Region kan stå som us-east-1.

Bunny.net

Bunny.net API Access Key * fra Account › Preferences › API Access Key.

Cloudflare

Cloudflare API Token *: et token med rettighederne Zone:Read og DNS:Edit på zonerne. En Global API Key kan ikke bruges.

Connbyte

Connbyte API Token *, oprettet i Connbyte-portalen.

Curanet

Curanet API Key *, oprettet under API-adgang i Curanets kontrolpanel med DNS-rettigheder.

DanDomain

DanDomain API Key *, oprettet under API-adgang i DanDomains kontrolpanel med DNS-rettigheder.

DigitalOcean

DigitalOcean API Token *: et Personal Access Token med Write-rettighed.

DNSimple

DNSimple Account ID *, tallet i jeres DNSimple-adresse som fx /a/1234, og DNSimple API Token * på kontoniveau.

Domeneshop

Domeneshop API Token * og Domeneshop API Secret *.

Gigahost.no

Gigahost.no API Key *, oprettet under API i Gigahosts kontrolpanel.

GleSYS

GleSYS Project ID *, fx CL12345, og GleSYS API Key *.

GoDaddy

GoDaddy API Key * og GoDaddy API Secret *. GoDaddy åbner kun API’et for konti med mindst 50 domæner eller en aktiv rabataftale.

Hetzner DNS

Hetzner DNS API Token * fra Hetzner DNS Console.

HostUp

HostUp API Token * med rettighederne read:dns, write:dns og read:domains.

Infoblox

Vælg nios med Grid Manager-vært, WAPI-brugernavn og password, eller uddi med en Universal DDI API-nøgle. Se Infoblox DNS API for zoneafgrænsede rettigheder, DNS views, WAPI 2.12/2.13.1/2.14 og egen CA.

IONOS

IONOS API Key *.

Loopia

Loopia API Username *, der ender på @loopiaapi, og Loopia API Password *. Brugeren skal have getDomains, getZoneRecords, addZoneRecord, removeZoneRecord og removeSubdomain.

ScanNet

ScanNet API Key *, oprettet under API-adgang i ScanNets kontrolpanel med DNS-rettigheder.

Simply.com

Simply.com Account Name *, kontonummeret som fx S123456, og Simply.com API Key *.