En TXT-post, publicerad en gång
DNS-validering kräver normalt att något kan skriva i er DNS-zon vid varje utfärdande, och det innebär en DNS-API-nyckel någonstans i nätverket. Med DNS-PERSIST-01 publicerar ni en TXT-post per domän en gång och låter den ligga kvar. Posten talar om för CA:n vilket konto som får utfärda för domänen. Därefter utfärdas certifikaten direkt.
Inga DNS-nycklar på servrar, agenter eller appliances
sslbrain Cloud beställer certifikatet hos CA:n och använder er permanenta TXT-post. Serviceagenter och appliances beställer via sslbrain Cloud eller acme.sslbrain.com, där namnen är godkända i förväg. Därför behöver ingen klient själv stödja DNS-PERSIST-01, och ingen DNS-API-nyckel ligger på någon server.
CA:er
- DigiCert, med RapidSSL, GeoTrust, Thawte och DigiCert. Kräver ert eget DigiCert-konto.
- Google Trust Services. Kräver EAB (External Account Binding).
- Let’s Encrypt: inte ännu, planerat.
- GlobalSign: planerat till 2027.
- ZeroSSL och Sectigo ACME stöder inte metoden.
Posten
Den exakta posten visas i appliancen under dns-persist och i sslbrain Cloud. Hos DigiCert ser värdet ut så här:
digicert.com; accounturi=<uri>; policy=wildcardVärdet policy=wildcard betyder att posten även täcker underdomäner och wildcardcertifikat. Posten följer CA:ns format. Byter en CA format, till exempel Google från version -01 till -02 av IETF-utkastet med hashad accounturi, visar sslbrain Cloud det nya värdet och ni publicerar det en gång. Se domänens konfiguration i manualen.
Oberoende av standardens tidsplan
IETF-utkastet är i version -02 från 20 september 2026. Let’s Encrypt har inget datum, och certbot stöder det inte ännu. Det påverkar inte sslbrain-kunder, eftersom sslbrain Cloud beställer certifikaten och era servrar aldrig själva behöver tala metoden.