Trin 6 af 8

6. Bevis, at domænet er jeres

Domænevalidering er CA’ens kontrol af, at I ejer domænet, før den udsteder et certifikat. Når hvert domæne har en CNAME viderestilling eller en DNS-API-adgang, klarer sslbrain valideringen selv ved hver udstedelse og fornyelse.

Før I starter

Appliancen er forbundet til sslbrain Cloud (trin 2). CNAME viderestilling virker kun med forbindelsen.
I kan oprette poster i DNS for domænet, eller I har en API-nøgle fra jeres DNS-udbyder.
En DNS-API-adgang kan kun oprettes af en bruger med rollen Owner (roller).
Licensen Free dækker 10 domæner pr. sslbrain Cloud-konto (domænegrænsen).

Vælg vej for hvert domæne

Åbn Domænevalidering under Opsætning › Certifikatudstedelse. Siden har en fane for hver vej: CNAME viderestilling (Auto-DNS) og DNS-API credentials.

	CNAME viderestilling	DNS-API
Hvad I gør	Opretter CNAME-posterne én gang; Tjek domæne viser hvilke	Opretter en adgang i sslbrain med en API-nøgle fra DNS-udbyderen
Hvor nøglen til jeres DNS ligger	Hos jeres DNS-udbyder, sslbrain får den aldrig	Krypteret i appliancens vault
Kræver	Forbindelse til sslbrain Cloud	En af de indbyggede udbydere, en DNS-server med RFC 2136 eller et REST-API, I kan beskrive
Passer til	Domæner hos enhver DNS-udbyder, også uden API	Domæner hos en udbyder med API, når I hellere giver sslbrain en nøgle end opretter CNAME-poster

Ved hver udstedelse vælger appliancen selv vejen for hvert navn, og den første, der passer, bruges:

en CNAME viderestilling til Auto-DNS på _acme-challenge.<navn>;
en DNS-API-adgang, i sslbrain Cloud eller på appliancen, hvis zone-binding dækker navnet;
den DNS-API-adgang, der er sat som standard.

Passer ingen af dem, bestiller sslbrain ikke certifikatet hos CA’en, og certifikatet viser hvorfor.

CNAME viderestilling

I opretter én gang en CNAME-post fra _acme-challenge.<domæne> til appliancens CNAME-mål hos sslbrain Cloud. Ved hver udstedelse og fornyelse lægger sslbrain Cloud valideringsværdien på målet, og CA’en følger jeres CNAME viderestilling dertil. Jeres egne DNS-nøgler forlader aldrig DNS-udbyderen.

Åbn Domænevalidering og fanen CNAME viderestilling (Auto-DNS). Kortet Label og CNAME-mål viser målet. Kopiér det med Kopier.
Skriv navnene på det certifikat, I skal bruge, i Domæne, adresse eller navne under Test et domæne, fx www.example.dk eller *.example.dk, højst 5 ad gangen. Klik på Tjek domæne.
Testen viser for hver post, der mangler, Navn, Fuldt navn, Type, Værdi (destination) og TTL. Opret posterne hos jeres DNS-udbyder. For example.dk ser posten sådan ud:
```
_acme-challenge.example.dk.  3600  IN  CNAME  <CNAME-mål>
```
De fleste DNS-paneler sætter selv domænet på navnet. Skriv da kun _acme-challenge i navnefeltet. Værdien skal være CNAME-målet præcis, uden noget efter.
Lad Tjek domæne køre videre. Den tjekker igen hvert 30. sekund i op til 20 minutter, fra domænets navneservere til CAA-posterne.
Når testen melder Klar til certifikat, fører Opret certifikat for … direkte til reglens guide i trin 8.

Cloudflare: sæt posten til “DNS only”. Med proxy slået til svarer navnet med en A-record, og valideringen fejler.
En TXT-post på samme navn: slet den. Der må kun ligge CNAME-posten på _acme-challenge.<domæne>.
DigiCert-produkter via sslbrain Cloud bruger posten _dnsauth.<domæne> i stedet. Tjek domæne tjekker begge navne og viser, hvilken jeres certifikatkilder læser.
Kortet Administrerede domæner viser de domæner, kontoen har sat op i sslbrain Cloud, med status Verificeret eller Afventer CNAME. Domæner tilføjes og fjernes i sslbrain Cloud. Et domæne med en virkende CNAME viderestilling valideres også uden at stå på listen.

DNS-API

sslbrain logger ind hos DNS-udbyderen med jeres API-nøgle, opretter TXT-posten til valideringen og fjerner den igen efter udstedelsen. Nøglen ligger krypteret i appliancens vault.

Opret en API-nøgle hos DNS-udbyderen med de rettigheder, der står under udbyderen.
Åbn Domænevalidering, fanen DNS-API credentials, og klik på Tilføj DNS-API adgang.

Udfyld formularen:

Felt	Værdi
Navn	Et navn, I kan kende adgangen på, fx `Cloudflare produktion`
Type	DNS API (anbefalet til certifikater)
DNS-udbyder	Udbyderen under Indbyggede udbydere, eller Ny custom REST DNS-udbyder… (egen REST-udbyder)
Udbyderens felter	Nøglerne fra trin 1
Forbindelse	Direkte fra appliancen, eller Kør via sslbrain Cloud-proxy, hvis udbyderen kun tillader kendte IP-adresser
DCV-tilstand	Automatisk (anbefalet)
Zone-bindinger (en pr. linje, valgfrit)	De zoner, adgangen skal bruges til. Et navn bruger adgangen med den længste binding, der passer
Brug som standard for alle DNS-validering (anbefalet for første credential)	Slå til for den første adgang

Klik på Gem.
Klik på Test adgang og derefter på Hent zoner på siden, der åbner. Listen skal indeholde jeres domæner.

Med Kør via sslbrain Cloud-proxy kalder sslbrain Cloud udbyderen fra en fast IP-adresse, kun med HTTPS på port 443. API-nøglen sendes krypteret hele vejen, og sslbrain Cloud kan ikke læse den. Afviser proxyen kaldet, eller kan den ikke nås, fejler kaldet. Det sendes aldrig direkte i stedet.

Indbyggede DNS-udbydere

sslbrain har 19 indbyggede udbydere. Felterne står på engelsk i formularen, og de hedder det samme her. Felter markeret med * skal udfyldes.

Azure DNS er ikke blandt de indbyggede udbydere. Brug CNAME viderestilling til domæner i Azure DNS.

Abion

Abion API Key *, som Abion udsteder til deres Partner Management API.

AWS Route 53

AWS Access Key ID * og AWS Secret Access Key * for en IAM-bruger eller -rolle med route53:ChangeResourceRecordSets på zonerne. AWS Region kan stå som us-east-1.

Bunny.net

Bunny.net API Access Key * fra Account › Preferences › API Access Key.

Cloudflare

Cloudflare API Token *: et token med rettighederne Zone:Read og DNS:Edit på zonerne. En Global API Key kan ikke bruges.

Connbyte

Connbyte API Token *, oprettet i Connbyte-portalen.

Curanet

Curanet API Key *, oprettet under API-adgang i Curanets kontrolpanel med DNS-rettigheder.

DanDomain

DanDomain API Key *, oprettet under API-adgang i DanDomains kontrolpanel med DNS-rettigheder.

DigitalOcean

DigitalOcean API Token *: et Personal Access Token med Write-rettighed.

DNSimple

DNSimple Account ID * (tallet i jeres DNSimple-adresse, fx /a/1234) og DNSimple API Token * på kontoniveau.

Domeneshop

Domeneshop API Token * og Domeneshop API Secret *.

Gigahost.no

Gigahost.no API Key *, oprettet under API i Gigahosts kontrolpanel.

GleSYS

GleSYS Project ID * (fx CL12345) og GleSYS API Key *.

GoDaddy

GoDaddy API Key * og GoDaddy API Secret *. GoDaddy åbner kun API’et for konti med mindst 50 domæner eller en aktiv rabataftale.

Hetzner DNS

Hetzner DNS API Token * fra Hetzner DNS Console.

HostUp

HostUp API Token * med rettighederne read:dns, write:dns og read:domains.

IONOS

IONOS API Key *.

Loopia

Loopia API Username *, der ender på @loopiaapi, og Loopia API Password *. Brugeren skal have getDomains, getZoneRecords, addZoneRecord, removeZoneRecord og removeSubdomain.

ScanNet

ScanNet API Key *, oprettet under API-adgang i ScanNets kontrolpanel med DNS-rettigheder.

Simply.com

Simply.com Account Name * (kontonummeret, fx S123456) og Simply.com API Key *.

Jeres egen DNS-server

Har I jeres egen DNS-server, fx BIND, kan sslbrain opdatere den med RFC 2136 (dynamic update) og en TSIG-nøgle. Opsætningen står i Domæner uden DNS-API.

Et script i stedet for en udbyder

En DNS-API-adgang kan køre et script på appliancen i stedet for at kalde en udbyder. Sådan fungerer det: Domæner uden DNS-API.

En udbyder, sslbrain ikke kender

Har jeres DNS-udbyder et REST-API, som sslbrain ikke har en indbygget udbyder til, kan I beskrive API’et selv under Ny custom REST DNS-udbyder…. Felterne står i Domæner uden DNS-API.

Kontrollér, at det virker

CNAME viderestilling: Tjek domæne under Test et domæne melder Klar til certifikat for hvert navn og viser, hvad CNAME viderestillingen peger på. Testen måler kun CNAME viderestillinger.
En DNS-API-adgang består Test adgang, og Hent zoner viser jeres zoner.
I reglens guide (trin 8) viser panelet Domænevalidering for hvert navn, hvilken vej der dækker det.

Hvis det fejler

Tjek domæne finder ingen CNAME viderestilling, eller den peger forkert: testen siger, hvad der er galt, fx at DNS-panelet har sat domænet på to gange. Ret posten, og lad testen køre igen.
CAA-poster på domænet spærrer for udstederen: testen viser, hvilke CAA-poster der skal tilføjes. Se også CAA-opslag.
Certifikatet står og venter, eller udstedelsen fejler med en valideringsfejl: se Validering fejler.