FairSSL ACME och portalen
dns-persist: en DNS-post, och alla namn är godkända i förväg
Fungerar i dag med alla ACME-klienter, även certbot, som ännu inte stöder dns-persist-01. Du behöver inte vänta på standarden eller på din klient.
Du skapar en TXT-post på din domän en gång. Sedan är domänen och alla namn under den godkända i förväg, och DigiCert-certifikat utfärdas direkt, både i FairSSL-portalen och via FairSSL ACME.
Vad dns-persist är
dns-persist är en valideringsmetod från CA/Browser Forum, avsnitt 3.2.2.4.22 i Baseline Requirements. I stället för en ny token vid varje beställning finns en permanent TXT-post som godkänner ditt certifikatkonto för domänen. DigiCert läser posten vid varje beställning, så det finns inget att skapa per beställning och inget vid förnyelse.
Valideringen sker mellan FairSSL och DigiCert via DigiCerts API. Din ACME-klient får ingen valideringsuppgift: när den beställer är domänen redan godkänd. Därför fungerar det med alla ACME-klienter: certbot, win-acme, cert-manager, acme.sh och appliances, utan DNS-plugin och utan att klienten stöder dns-persist-01.
IETF-utkastet till dns-persist-01 i ACME är i version -02 från 20-09-2026. Det ändrar inget för dig, eftersom valideringen här inte körs som en ACME-challenge.
Posten
Du skapar själv posten på din domän:
_validation-persist.dindoman.se. IN TXT "digicert.com; accounturi=<din konto-URI>; policy=wildcard"- Ditt eget värde finns i portalen. Vi skapar inte posten åt dig, eftersom den är ditt bevis på att du förfogar över domänen.
policy=wildcardbetyder att posten även täcker underdomäner och wildcard-certifikat.- Posten ska ligga kvar. Raderas den faller beställningar tillbaka till validering per beställning med
_dnsauthoch AutoDNS.
Vilka certifikat
dns-persist gäller DigiCert-certifikaten hos FairSSL: RapidSSL, GeoTrust, Thawte och DigiCert, som DV, OV och EV.
Kräver ett eget DigiCert-konto
Posten godkänner ett helt certifikatkonto. Därför kräver dns-persist att du har ett eget DigiCert-konto hos FairSSL. Kontakta oss så aktiverar vi det.
På FairSSL:s gemensamma DigiCert-konto använder du AutoDNS, som validerar varje beställning automatiskt. Det gäller även OV och EV med din egen organisation.
dns-persist-01 hos andra CA:er
Hos de andra CA:erna är dns-persist-01 en ACME-challenge, så både CA:n och din ACME-klient måste stödja den.
| CA | Status |
|---|---|
| Google Trust Services | ✓ Ja ↗ |
| Let's Encrypt | Inte än, planerat (väntar på nästa version av standarden) |
| GlobalSign | Planerat till 2027 |
| ZeroSSL | ✗ Stöds inte |
| Sectigo ACME | ✗ Stöds inte |
Certifikat på många servrar och appliances
Ett offentligt SSL-certifikat får vara giltigt i högst 199 dagar nu, 99 dagar senast 2027-03-15 och 46 dagar senast 2029-03-15. Varje certifikat måste då bytas minst två gånger om året nu och minst åtta gånger om året från 2029, på varje server, brandvägg och lastbalanserare där det används. sslbrain från FairSSL körs som en appliance i ert eget nätverk och förnyar och installerar certifikaten från ett ställe, även på utrustning utan agent.
dns-persist-01 i sslbrain: inga DNS-nycklar på servrarna(öppnar sslbrain.com i en ny flik)Redo att skapa ett gratis konto?
Skapa ett gratis konto och beställ ditt första certifikat. Ett DV-certifikat utfärdas på under 2 minuter.