ACME (Automatic Certificate Management Environment), sertifika talebi, alan adı doğrulaması ve yenilemeyi makinelerin kendi aralarında yürütmesini sağlayan standart bir protokoldür; RFC 8555 ile tanımlanmıştır. Let's Encrypt ile yaygınlaştı, ama ticari CA'lar da destekleyebilir.
Protokol nasıl işler?
- Hesap: İstemci bir hesap anahtarı üretir ve CA'ya kaydolur.
- Sipariş (order): İstemci hangi alan adlarını istediğini bildirir.
- Yetkilendirme (authorization): CA, her alan adı için bir challenge ister.
- Doğrulama: İstemci challenge'ı yerine getirir.
- Finalize: İstemci CSR gönderir, CA sertifikayı düzenler.
- İndirme: Sertifika ve zincir alınır.
Challenge türleri
- http-01:
/.well-known/acme-challenge/<token>yolunda bir dosya yayınlanır; 80 numaralı port erişilebilir olmalıdır. - dns-01:
_acme-challenge.alanadialtında TXT kaydı yayınlanır; wildcard sertifikalar için gereklidir. - tls-alpn-01: 443 numaralı porttaki özel bir TLS el sıkışmasıyla doğrulama.
Pratik kurulum
sudo certbot certonly --nginx -d example.com -d www.example.com
# Wildcard icin DNS dogrulamasi
sudo certbot certonly --manual --preferred-challenges dns -d "*.example.com"
Elle DNS doğrulaması otomatik yenilemeyi engeller; üretimde DNS sağlayıcınızın API'sini kullanan bir eklenti ya da acme.sh/lego gibi bir istemci tercih edin.
Ticari CA ve EAB
Bazı CA'lar ACME hesabını müşteri hesabına bağlamak için External Account Binding (EAB) ister. Sağlayıcıdan alınan kid ve HMAC anahtarı, istemciye bir kez girilir. Ticari bir ACME seçeneği arıyorsanız SSL sertifikaları sayfasına bakabilirsiniz.
İpuçları
- Hesap anahtarını yedekleyin; kaybederseniz yenileme için yeni hesap açmanız gerekir.
- CAA kayıtlarının ilgili CA'ya izin verdiğinden emin olun.
- Yenileme başarısızlığı için e-posta bildirimi açın.
ACME, yenileme yükünü kaldırır ama izlemeyi kaldırmaz; dışarıdan SSL kontrol yapmaya devam edin.
Ne zaman tercih edilmez?
Ağ cihazları, eski uygulamalar veya dışarıdan doğrulama yapılamayan iç sunucular ACME'yi kolayca kullanamayabilir. Bu durumda iç CA, DNS tabanlı doğrulama veya kurum doğrulamalı ticari sertifika ve elle yenileme daha gerçekçi olabilir. Sertifika türünü seçerken SSL seçim rehberi yardımcı olur.