Steg 6 av 8

6. Visa att domänen är er

CA:n kontrollerar att ni äger domänen innan den utfärdar ett certifikat. Har domänen en CNAME-vidarebefordran sköter sslbrain kontrollen själv vid varje utfärdande och förnyelse.

Innan ni börjar

Behörighet att skapa poster i DNS för domänen.
För en DNS-API-uppgift: en API-nyckel från DNS-leverantören och rollen Owner i sslbrain (roller).

Välj väg

Använd en CNAME-vidarebefordran. Den fungerar hos alla DNS-leverantörer, och sslbrain får aldrig någon nyckel till er DNS.

Använd en DNS-API-uppgift om domänen ligger hos någon av de inbyggda leverantörerna och ni hellre ger sslbrain en API-nyckel än skapar CNAME-poster.

Använder ert CA-konto dns-persist-01 kan ni i stället skapa en fast TXT-post per CA-konto: dns-persist-01.

CNAME-vidarebefordran

Posten skapas en gång per domän och behöver sedan inte röras.

Öppna Domänvalidering under Konfiguration › Certifikatutfärdande och välj fliken CNAME-vidarebefordran (Auto-DNS).
Skriv namnen på certifikatet i Domän, adress eller namn under Testa en domän, till exempel www.example.dk eller *.example.dk. Högst 5 åt gången. Klicka på Kontrollera domän.
Testet visar de poster som saknas. Skapa dem hos er DNS-leverantör. För example.dk ser posten ut så här:
```
_acme-challenge.example.dk.  3600  IN  CNAME  <CNAME-mål>
```
Lägger DNS-panelen själv till domänen efter namnet skriver ni bara _acme-challenge i namnfältet. Värdet är exakt CNAME-målet, utan något efter.
Låt Kontrollera domän fortsätta. Den kontrollerar igen var 30:e sekund i upp till 20 minuter.
När testet visar Klar för certifikat klickar ni på Skapa certifikat för …. Den öppnar installationsplanens guide i steg 8.

DigiCert-produkter via sslbrain Cloud använder posten _dnsauth.<domän>. Kontrollera domän kontrollerar båda namnen och visar vilket era certifikatkällor läser.

DNS-API

sslbrain skapar valideringsposten hos DNS-leverantören med er API-nyckel och tar bort den igen efter utfärdandet. Nyckeln ligger krypterad i appliancens vault.

Skapa en API-nyckel hos DNS-leverantören med de behörigheter som står under leverantören.
Öppna Domänvalidering, fliken DNS-API-uppgifter, och klicka på Lägg till DNS-API-uppgift.
Ge uppgiften ett Namn, till exempel Cloudflare produktion. Välj DNS API (anbefalet til certifikater) under Typ och leverantören under DNS-udbyder.
Fyll i leverantörens fält med nycklarna från steg 1. Välj Direkt från appliancen under Anslutning och Automatisk (anbefalet) under DCV-tilstand.
Skriv zonerna som uppgiften ska användas för i Zone-bindinger (en pr. linje, valgfrit). Är det er första uppgift slår ni på Brug som standard for alle DNS-validering ….
Klicka på Spara. Klicka sedan på Testa åtkomst och på Hämta zoner. Listan ska visa era domäner.

Ett namn använder uppgiften med den längsta zonbindning som passar, annars den uppgift som är satt som standard. Har namnet en CNAME-vidarebefordran används den före en DNS-API-uppgift.

dns-persist-01

Med dns-persist-01 (IETF-utkast) skapar ni en TXT-post på domänen, och den får stå kvar. Posten pekar på ert konto hos CA:n, och så länge den finns kan kontot få certifikat för domänen utan en ny DNS-ändring vid varje förnyelse. sslbrain skapar inte posten åt er.

Varje CA-konto har sin egen post. Använder ni flera CA:er eller konton behöver vart och ett sin post på varje domän. Posten heter _validation-persist framför domänen:

_validation-persist.example.se.  3600  IN  TXT  "<värdet från fliken>"

Öppna Domänvalidering och välj fliken dns-persist-01. Fliken visar ett kort per CA-konto: Konto i sslbrain Cloud eller Direkt ACME-konto på den här appliancen.
Klicka på Kopiera vid Värde. Värdet är klart att klistra in och ska inte ändras.
Skapa TXT-posten _validation-persist.<domän> med värdet hos er DNS-leverantör och låt den stå kvar så länge ni använder kontot.
Se Status för domänen på kortet. En domän som inte står i listan kan ni kontrollera under Kontrollera en domän.

Vilka CA:er fliken visar en post för:

Google Trust Services: värdet har formen pki.goog; accounturi=<konto-URL>; policy=wildcard. Med policy=wildcard gäller en post på domänen för själva domänen, alla dess underdomäner och wildcard-certifikat.
DigiCert via sslbrain Cloud: värdet har formen digicert.com; accounturi=<konto-URL>. sslbrain Cloud hämtar det hos DigiCert när kontot finns, och DigiCert lämnar ut det först när kontot har sin första domän. Till dess står det varför värdet saknas. Kan sslbrain Cloud inte visa värdet för ert eget DigiCert-konto hittar ni det i DigiCert CertCentral.
Andra CA:er: fliken visar en post först när CA:n erbjuder dns-persist-01 i drift. Let’s Encrypt gör det inte ännu.

Har CA:n ett meddelande om metoden står det i den gula rutan överst på kortet. Google Trust Services skriver till exempel att dns-persist-01 ännu inte är helt standardiserat och att ni kan behöva uppdatera posten när den slutliga specifikationen kommer.

Status per domän:

Stämmer: posten är på plats. Ni behöver inte göra något mer.
Annat värde: det finns en post, men med ett annat värde. Fliken visar det hittade värdet under Hittades i stället. Står det Posten finns, men utan den förväntade policyn saknas till exempel policy=wildcard. Ändra posten till det kopierade värdet.
Saknas: det finns ingen post. Skapa den som i steg 3.
Inte kontrollerad: domänen hann inte läsas. Kontrollera den under Kontrollera en domän.

Visar status att domänens CAA-poster inte tillåter CA:n, står posterna som ska läggas till under statusen.

För direkta ACME-konton på appliancen räknar appliancen själv ut posten, så de visas även när appliancen inte är ansluten till sslbrain Cloud eller Cloud ligger nere. Kan sslbrain Cloud inte nås visar fliken de poster som senast lästes, med tidpunkten under De visade posterna lästes. De kan ha ändrats sedan dess. Klicka på Läs igen för att hämta dem på nytt. Har appliancen ingen tidigare kopia står det att posterna inte kunde läsas. Det betyder inte att inga poster behövs; försök igen om en stund.

Er egen DNS-server

En DNS-server som BIND kan uppdateras med RFC 2136 och en TSIG-nyckel: Domäner utan DNS-API.

Ett skript i stället för en leverantör

En DNS-API-uppgift kan köra ett skript på appliancen: Domäner utan DNS-API.

En leverantör som sslbrain inte känner till

Har DNS-leverantören ett REST-API kan ni själva beskriva det under Ny anpassad REST DNS-leverantör…: Domäner utan DNS-API.

Om det inte fungerar

Kontrollera domän hittar ingen CNAME-vidarebefordran, eller den pekar fel: testet säger vad som är fel, till exempel att DNS-panelen har lagt till domänen två gånger. Rätta posten och låt testet köra igen.
Domänen ligger hos Cloudflare: ställ in posten på “DNS only”. Med proxyn påslagen svarar namnet med en A-post, och valideringen misslyckas.
Det finns en TXT-post på _acme-challenge.<domän>: ta bort den. Bara CNAME-posten får ligga där.
CAA-poster spärrar utfärdaren: testet visar vilka CAA-poster som ska läggas till. Se CAA-uppslag.
Appliancen är inte ansluten till sslbrain Cloud: CNAME-vidarebefordran fungerar bara med anslutningen. Anslut appliancen enligt steg 2.
Alla CNAME-vidarebefordringar slutar fungera samtidigt: label i CNAME-målet har ändrats i sslbrain Cloud. Ändra posterna till målet som kortet Label och CNAME-mål visar.
DNS-leverantören tillåter bara kända IP-adresser: välj Kör via sslbrain Cloud-proxy under Anslutning. sslbrain Cloud anropar då leverantören från en fast IP-adress med HTTPS på port 443. Går proxyn inte att nå misslyckas anropet. Det skickas aldrig direkt i stället.
Certifikatet beställs inte: varken en CNAME-vidarebefordran eller en DNS-API-uppgift täcker namnet. Certifikatet visar varför.
Licensen Free: den täcker 2 domäner per sslbrain Cloud-konto. Se domängränsen.
Certifikatet står och väntar, eller utfärdandet misslyckas med ett valideringsfel: se Valideringen misslyckas.

Inbyggda DNS-leverantörer

Fälten står på engelska i formuläret och heter samma sak här. Fält markerade med * är obligatoriska. Azure DNS är inte inbyggt. Använd CNAME-vidarebefordran för domäner i Azure DNS.

Abion

Abion API Key *, som Abion utfärdar för sitt Partner Management API.

AWS Route 53

AWS Access Key ID * och AWS Secret Access Key * för en IAM-användare eller IAM-roll med route53:ChangeResourceRecordSets på zonerna. AWS Region kan stå kvar som us-east-1.

Bunny.net

Bunny.net API Access Key * från Account › Preferences › API Access Key.

Cloudflare

Cloudflare API Token *: en token med behörigheterna Zone:Read och DNS:Edit på zonerna. En Global API Key kan inte användas.

Connbyte

Connbyte API Token *, skapad i Connbyte-portalen.

Curanet

Curanet API Key *, skapad med DNS-behörighet under API-åtkomst i Curanets kontrollpanel.

DanDomain

DanDomain API Key *, skapad med DNS-behörighet under API-åtkomst i DanDomains kontrollpanel.

DigitalOcean

DigitalOcean API Token *: en Personal Access Token med Write-behörighet.

DNSimple

DNSimple Account ID *, talet i er DNSimple-adress som till exempel /a/1234, och DNSimple API Token * på kontonivå.

Domeneshop

Domeneshop API Token * och Domeneshop API Secret *.

Gigahost.no

Gigahost.no API Key *, skapad under API i Gigahosts kontrollpanel.

GleSYS

GleSYS Project ID *, till exempel CL12345, och GleSYS API Key *.

GoDaddy

GoDaddy API Key * och GoDaddy API Secret *. GoDaddy öppnar bara API:et för konton med minst 50 domäner eller ett aktivt rabattavtal.

Hetzner DNS

Hetzner DNS API Token * från Hetzner DNS Console.

HostUp

HostUp API Token * med behörigheterna read:dns, write:dns och read:domains.

Infoblox

Välj nios med Grid Manager-värd, WAPI-användarnamn och lösenord, eller uddi med en Universal DDI API-nyckel. Se Infoblox DNS API för zonbegränsade behörigheter, DNS views, WAPI 2.12/2.13.1/2.14 och egen CA.

IONOS

IONOS API Key *.

Loopia

Loopia API Username *, som slutar på @loopiaapi, och Loopia API Password *. Användaren måste ha getDomains, getZoneRecords, addZoneRecord, removeZoneRecord och removeSubdomain.

ScanNet

ScanNet API Key *, skapad med DNS-behörighet under API-åtkomst i ScanNets kontrollpanel.

Simply.com

Simply.com Account Name *, kontonumret som till exempel S123456, och Simply.com API Key *.