Server.ID ⋅ Domainprüfung

Überprüfung der Domainkontrolle per DNS-Eintrag

Zielsetzung

Bei diesem Validierungsverfahren wird die Domainkontrolle durch das gezielte Einfügen von eindeutigen Informationen im DNS nachgewiesen. Die DNS-Challenge zur Domain-Validierung überprüft somit den Zugriff des Antragstellers auf den DNS-Eintrag der beauftragten Domain.

Wildcard-Zertifikate können zur Authentifizierung ganzer Subdomains eingesetzt werden (z.B. *.telesec.de). Für diese muss entweder die Methode DNS oder E-Mail zur Validierung verwendet werden. 

Prozess bei Server.ID DV/OV ACME

Die DNS-Prüfung erfolgt im Falle von Server.ID Produkten via ACME erfolgt nach der Zertifikatsbeantragung mittels des genutzten ACME-Clients: 

  • Bei dieser Methode präsentiert die CA dem Antragssteller/der Antragstellerin über den ACME-Client eine Zufallszahl, die im TXT Ressource Record der beauftragten Domain hinterlegt werden muss. 
  • Wurde die Zufallszahl passend hinterlegt und die CA hat diese im DNS ermitteln können, so ist die Prüfung erfolgreich und der Vorgang zur Ausstellung eines Zertifikats wird weiter durchlaufen.  

Prozess bei Einzelbestellung von Server.ID DV und Server.ID OV Produktvarianten über das Service Portal

  1. Auswahl der DNS-Challenge wie oben dargestellt. Dies kann entweder im Zuge einer Zertifikatsanfrage oder über eine Prevalidierung unter Domains erfolgen. 
  2. Anlage eines neuen DNS-Eintrags (TXT Record) mit dem im Frontend angezeigten Bezeichnung, z.B. _pki-validation.newdomain.tctest-npp.de.
    newdomain.tctest-npp.de wäre dabei durch die konkret zu validierende Domain zu ersetzen. 
  3. Hinterlegung der angezeigten Zeichenfolge als Wert des Records. 

Was passiert, falls die Prüfung nicht direkt erfolgreich ist? 

Die Zertifikatsplattform überprüft alle 5 Min. über mehrere Tage hinweg (aktuell 30 Tage), inwiefern das Geheimnis hinterlegt wurde. Im Service Portal wird angezeigt wie lange die gewählte Challenge gültig ist und überprüft wird (Angabe unter Validierung bis). 

Bitte beachten Sie die von Ihnen im DNS-Eintrag eingestellte TTL (Time to Live). Ggf. müssen Sie die von Ihnen eingestellte Zeit (z.B. eine TTL von 21600 entspricht 6 Stunden) abwarten, bevor unsere Systeme Ihre Änderung auslesen können!