DNS-01 Challenge (ACME)

DNS-01, ACME protokolünde alan adı kontrolünü bir DNS TXT kaydı ile kanıtlama yöntemidir. Wildcard sertifika almanın tek ACME yolu olduğu ve sunucunun internetten erişilebilir olmasını gerektirmediği için yaygın kullanılır.

Nasıl çalışır?

1. İstemci CA'dan bir belirteç (token) alır.
2. Belirteç ve hesap anahtarından bir anahtar yetkilendirme dizgisi üretilir, SHA-256 özeti alınır ve base64url ile kodlanır.
3. Bu değer _acme-challenge.alanadi.com adı altında TXT kaydı olarak yayımlanır.
4. CA bu kaydı sorgular; değer eşleşirse doğrulama geçer.

Certbot ile örnek

certbot certonly --manual --preferred-challenges dns   -d alanadi.com -d "*.alanadi.com"

Certbot size eklenecek TXT kaydını gösterir. Kaydı ekledikten sonra yayıldığını denetleyin:

dig TXT _acme-challenge.alanadi.com +short

Kayıt görününce Enter tuşuna basarak devam edin. Elle yöntem yenilemede otomatikleşmez; kalıcı çözüm için DNS sağlayıcı eklentisi (ör. Cloudflare eklentisi) ya da acme.sh DNS API betiklerini kullanın.

CNAME yetkilendirme

DNS API anahtarını her sunucuya dağıtmak istemiyorsanız _acme-challenge.alanadi.com için ayrı bir bölgeye CNAME tanımlayın:

_acme-challenge.alanadi.com.  IN CNAME  _acme-challenge.dogrulama.ornek.net.

İstemci yalnızca bu yönlendirilen bölgeye yazma yetkisine ihtiyaç duyar.

Sık hatalar

• Yayılım gecikmesi: Kayıt henüz görünmeden doğrulama istenirse hata alınır; bekleyip yeniden deneyin.
• Eski TXT kalıntıları: Aynı adda birden çok TXT olabilir; yenisi eklenir, eskisini temizlemek gerekmez ama karışıklık yaratabilir.
• CNAME çakışması: Aynı adda CNAME varken TXT eklenemez.
• Yanlış ad: Wildcard için de kayıt _acme-challenge.alanadi.com adına girilir, * ile değil.

Ne zaman tercih edilmeli?

Wildcard gerekiyorsa, sunucu internetten erişilemiyorsa (iç ağ) ya da CDN ve proxy arkasındaysanız DNS-01 en uygun yöntemdir. Yenileme sıklığı yüksekse API ile otomasyon şarttır. Dezavantajı, DNS API anahtarının yönetim yükü ve güvenlik riskidir; bu yüzden en az yetkili anahtarı kullanın.

Kurumsal ortamda kuruluş doğrulamalı sertifika gerekiyorsa ticari seçenekleri SSL sertifikaları ve wildcard SSL sayfalarında görebilirsiniz. Alan adı sertifika durumunu SSL kontrol aracıyla izleyin.