Otomatik DCV, alan adı doğrulamasının insan müdahalesi olmadan yapılmasıdır. Sertifika sürelerinin kısalması nedeniyle doğrulama sıklığı artıyor; elle yapılan e-posta onayları bu tempoda sürdürülemez hale geliyor.
Başlıca yaklaşımlar
- ACME istemcisi: certbot, acme.sh, lego gibi istemciler CA ile konuşur, doğrulamayı kendisi tamamlar ve sertifikayı yeniler.
- DNS API entegrasyonu: İstemci, DNS sağlayıcısının API'siyle TXT kaydını ekler ve siler. Wildcard için gereklidir.
- CNAME yetkilendirme:
_acme-challengeadı, yönettiğiniz ayrı bir alan adına CNAME ile yönlendirilir; asıl DNS anahtarlarını istemciye vermeden otomasyon yapılır. - CA'nın API'si: Bazı ticari CA'lar sipariş ve DCV API'si sunar; sipariş akışı sisteminizden yönetilebilir.
Kurulum adımları
- Uygun yöntemi seçin: tek sunucuda HTTP-01, wildcard veya birden çok sunucuda DNS-01.
- İstemciyi kurun ve ilk sertifikayı alın. Örnek (webroot ile):
certbot certonly --webroot -w /var/www/html -d alanadi.com -d www.alanadi.com - Yenileme denemesini kuru çalıştırmayla test edin:
certbot renew --dry-run - Yenileme sonrası web sunucusunu yeniden yüklemek için bir deploy kancası tanımlayın (ör.
--deploy-hook "systemctl reload nginx"). - Bitiş tarihi izlemesi kurun; otomasyon sessizce bozulabilir.
Güvenlik önlemleri
- DNS API anahtarlarını yalnızca ilgili bölgeyi düzenleyebilecek kısıtlı yetkiyle oluşturun.
- CAA kaydıyla yalnızca kullandığınız CA'ya izin verin.
- Özel anahtarı istemcinin çalıştığı makinede koruyun, erişimi kısıtlayın.
Sınırlar
Otomatik DCV yalnızca alan adı kontrolünü otomatikleştirir; OV ve EV sertifikalardaki kuruluş doğrulaması ayrıca yapılır. Her ürün ve CA ACME'yi desteklemez; bu nedenle ticari sertifikalarda API ve panel doğrulaması sık kullanılır.
İzleme
Otomasyon kurduktan sonra yenileme günlüklerini düzenli kontrol edin ve bitiş tarihine yaklaşıldığında uyarı veren bir izleme ekleyin. Başarısız yenileme denemeleri çoğunlukla DNS izin değişikliği, süresi dolmuş API anahtarı veya kapanmış port gibi küçük nedenlere dayanır; erken fark etmek kesintiyi önler.
Yöntemleri ayrıntısıyla öğrenmek için bilgi bankasındaki DNS-01 ve HTTP-01 makalelerine bakın; sertifika seçenekleri için SSL sertifikaları ve SSL seçim sayfaları yol gösterir.