DNS-PERSIST-01 uden DNS-nøgler

Én TXT-post, lagt ud én gang

DNS-validering kræver normalt, at noget kan skrive i jeres DNS-zone ved hver udstedelse, og det betyder en DNS-API-nøgle et sted i netværket. Med DNS-PERSIST-01 lægger I én TXT-post pr. domæne ud én gang og lader den stå. Posten fortæller CA’en, hvilken konto der må udstede for domænet. Derefter udstedes certifikaterne med det samme.

Ingen DNS-nøgler på servere, agenter eller appliances

sslbrain Cloud bestiller certifikatet hos CA’en og bruger jeres permanente TXT-post. Service-agenter og appliances bestiller gennem sslbrain Cloud eller acme.sslbrain.com, hvor navnene er godkendt på forhånd. Derfor skal ingen klient selv kunne DNS-PERSIST-01, og ingen DNS-API-nøgle ligger på nogen server.

CA’er

• DigiCert, med RapidSSL, GeoTrust, Thawte og DigiCert. Kræver jeres egen DigiCert-konto.
• Google Trust Services. Kræver EAB (External Account Binding).
• Let’s Encrypt: ikke endnu, planlagt.
• GlobalSign: planlagt i 2027.
• ZeroSSL og Sectigo ACME understøtter ikke metoden.

Posten

Den præcise post vises i appliancen under dns-persist og i sslbrain Cloud. Hos DigiCert ser værdien sådan ud:

digicert.com; accounturi=<uri>; policy=wildcard

Værdien policy=wildcard betyder, at posten også dækker underdomæner og wildcard-certifikater. Posten følger CA’ens format. Skifter en CA format, fx Google fra version -01 til -02 af IETF-udkastet med hashet accounturi, viser sslbrain Cloud den nye værdi, og I lægger den ud én gang. Se domænets opsætning i manualen.

Uafhængig af standardens tidsplan

IETF-udkastet er i version -02 fra 20. september 2026. Let’s Encrypt har ingen dato, og certbot understøtter det ikke endnu. Det påvirker ikke sslbrain-kunder, fordi sslbrain Cloud bestiller certifikaterne, og jeres servere ikke selv skal tale metoden.