Zum Inhalt springen

Wildcards im Wilden Westen des Internets: TLS-Zertifikate sauber mit ACME DNS-01 ausrollen

24. Juni 2025 durch
Wildcards im Wilden Westen des Internets: TLS-Zertifikate sauber mit ACME DNS-01 ausrollen
Hendrik Lilienthal

Ah, die Wildcards. Ein wahrer Segen für uns IT-Superhelden, wenn es darum geht, mehrere Subdomains unter einem einzigen SSL/TLS-Zertifikat zu bändigen. Aber wie im Wilden Westen kann auch diese Prozedur gefährlich werden, wenn man nicht weiß, wie man seine Waffe richtig einsetzt. Vor allem, wenn du keinen Port nach außen öffnen willst. Müssen wir uns jetzt in die staubigen Ecken des Internets begeben, um das hinzubekommen? Nein, wir nutzen einfach ACME DNS-01. Klingt wie ein Superhelden-Gadget, oder? Nun, für uns ist es das auch.

Zunächst einmal: Was ist ACME DNS-01? Es ist eine Methode zur Validierung von Domainnamen, die die ACME-Protokolle (Automated Certificate Management Environment) nutzen - in unserem Fall Let's Encrypt. Statt den üblichen HTTP-01 oder TLS-SNI-01 Herausforderungen, die einen offenen Port erfordern, nutzt DNS-01 einen DNS TXT-Eintrag für die Validierung. Und das Beste daran? Es unterstützt auch Wildcards.

Jetzt zur Action: Für ACME DNS-01 brauchst du ein ACME-kompatibles Client-Tool wie Certbot. Mit einem entsprechenden Plugin kann Certbot den DNS-Record automatisch setzen und entfernen. Erstelle zunächst ein Verzeichnis für deine Account-Daten und rufe das ACME-Protokoll mit dem richtigen Provider auf - wir nehmen hier mal "dns-rfc2136" als Beispiel:

```

mkdir /etc/letsencrypt/accounts

certbot certonly --dns-rfc2136 --dns-rfc2136-credentials /etc/letsencrypt/accounts/rfc2136.ini -d '*.deinedomain.de'

```

In der rfc2136.ini-Datei müssen natürlich deine Credentials stehen:

```

dns_rfc2136_server = dein.dns.server

dns_rfc2136_name = dein-benutzername

dns_rfc2136_secret = dein-passwort

```

Denk daran, die Datei gut zu schützen, da sie sensible Daten enthält. Ein `chmod 600 /etc/letsencrypt/accounts/rfc2136.ini` sollte reichen.

Voilà! Deine Wildcard ist nun in der Zertifikatskette von Let's Encrypt verfügbar, ohne dass irgendwelche Ports nach außen geöffnet werden mussten. Und jetzt das Sahnehäubchen: Mit einem simplen Cron-Job kannst du den Prozess automatisieren und dafür sorgen, dass dein Zertifikat immer frisch bleibt.

Das war der High-Noon-Duell mit den Wildcards. Mit ACME DNS-01 als treuem Colt an unserer Seite haben wir das Duell gewonnen und können nun beruhigt in den IT-Sonnenuntergang reiten. Remember: Im Wilden Westen des Internets sind wir die Sheriffs!

Wildcards im Wilden Westen des Internets: TLS-Zertifikate sauber mit ACME DNS-01 ausrollen
Hendrik Lilienthal 24. Juni 2025
Diesen Beitrag teilen