Automatisierte DNS-Validierung mit CertSecure Manager: Persistente DCV und DNS-Konnektoren

Die Domain Control Validation (DCV) ist der Schritt, in dem eine Zertifizierungsstelle bestätigt, dass der Antragsteller tatsächlich die Domain kontrolliert, für die das Zertifikat ausgestellt wurde. Bisher war dies für die meisten Teams eine jährliche Aufgabe, die unauffällig im Rahmen der Zertifikatserneuerung erledigt wurde. Diese Annahme gilt nun nicht mehr. Die Vorgaben des CA/Browser Forums sehen einen festen Zeitplan vor, der die Gültigkeitsdauer von Zertifikaten von derzeit 398 Tagen auf 47 Tage bis 2029 verkürzt und gleichzeitig die Wiederverwendbarkeit von Domain-Validierungsnachweisen einschränkt. Da Zertifikate alle sechs bis sieben Wochen neu ausgestellt werden müssen, muss auch die zugehörige Validierung entsprechend angepasst werden.

Zwei Funktionen ermöglichen dieses Tempo: die persistente DCV (DNS-PERSIST-01-Methode), ein Validierungsverfahren, das die erneute Verifizierung einer Domain anhand eines einmalig veröffentlichten Datensatzes erlaubt, und DNS-Konnektoren, die die für die Validierung weiterhin erforderlichen DNS-Änderungen automatisieren. Dieser Artikel erläutert die einzelnen Funktionen, die genauen Fristen für die Umstellung, die zugrunde liegenden Berechnungen und einen praktischen Weg zur Vorbereitung.

Die Fristen, die den Wandel vorantreiben

Im April 2025 stimmte das CA/Browser Forum mit 29 Ja-Stimmen und keiner Gegenstimme für den Antrag SC-081v3 mit dem Titel „Einführung eines Zeitplans zur Reduzierung der Gültigkeitsdauer und der Datenwiederverwendungszeiträume“. Der ursprünglich von Apple vorgeschlagene Antrag sieht eine schrittweise Reduzierung sowohl der maximalen Gültigkeitsdauer öffentlich vertrauenswürdiger TLS-Zertifikate als auch des Zeitraums vor, in dem Validierungsdaten wiederverwendet werden dürfen. Alle öffentlich vertrauenswürdigen TLS-Zertifikate sind betroffen, unabhängig davon, ob es sich um DV-, OV- oder EV-Zertifikate handelt, einschließlich Wildcard- und Multi-Domain-Zertifikate (SAN).

Datum des Inkrafttretens	Maximale TLS-Gültigkeit	Wiederverwendungszeitraum des DCV	SII-Wiederverwendung (OV/EV)
Bis zum 14. März 2026	398 Tage	398 Tage	825 Tage
15. März 2026	200 Tage	200 Tage	398 Tage
15. März 2027	100 Tage	100 Tage	398 Tage
15. März 2029	47 Tage	10 Tage	398 Tage

Die Gültigkeitsdauer und die Wiederverwendungsbeschränkungen für DCV-Zertifikate richten sich nach dem Ausstellungsdatum des Zertifikats, nicht nach dem Datum der Bestellung.

Das Zeitfenster für die Wiederverwendung von Subjektidentitätsinformationen (SII) für OV- und EV-Zertifikate verkürzt sich am 15. März 2026 von 825 auf 398 Tage. Damit endet das bisherige Modell „einrichten und vergessen“ für Zertifikate mit hoher Sicherheit. Die vollständigen zugehörigen Vorgaben, einschließlich der separaten Frist für Chrome Dual-EKU am 15. Juni 2026, finden Sie in unserer Analyse der CA/Browser-Forum-Vorgabe . Diese Änderung betrifft auch die Frage, wann eine öffentliche bzw. eine private Zertifizierungsstelle (CA) verwendet werden sollte.

Warum kürzere Zertifikate die manuelle Domainvalidierung beeinträchtigen

Die Herausforderung liegt nicht im Zertifikat selbst, sondern in der Häufigkeit der Neuausstellung. Nehmen wir eine Organisation mit 1,000 öffentlich anerkannten Zertifikaten. Bei einer Gültigkeitsdauer von 398 Tagen fallen derzeit jährlich etwa 1,000 Erneuerungen an. Bis 2029, bei einer Gültigkeitsdauer von 47 Tagen, werden es über 8,000 Erneuerungen pro Jahr sein – eine Verachtfachung des Arbeitsaufwands.

Die Validierung ist noch direkter betroffen. Wenn das DCV-Wiederverwendungsfenster auf 10 Tage sinkt, Zertifikate aber 47 Tage gültig sind, muss die Domaininhaberschaft pro Domain etwa 35 Mal pro Jahr neu nachgewiesen werden. E-Mail-basierte Validierung und einmalige HTTP-Dateiplatzierung sind in diesem Rhythmus nicht möglich. Besonders betroffen sind Teams, die große Domainbestände, SAN-Zertifikate mit mehreren Domains unter einer Validierung und Wildcard-Domains verwalten. Das Risiko ist am größten, wenn die DNS-Verantwortung auf Netzwerk-, Infrastruktur- und Plattformteams verteilt ist und jede Änderung ein Änderungsmanagement-Ticket erfordert.

Die Schlussfolgerung liegt auf der Hand: Bei maschinell durchgeführten Erneuerungszyklen ist die manuelle Zertifikatsverwaltung nicht mehr praktikabel, und die Skalierung des Zertifikatsbetriebs durch Automatisierung wird zum Standard. Die Frage ist, welche Form der Automatisierung das größte operative Risiko minimiert.

Was ist Domänenkontrollvalidierung (DCV)?

Die Domänenkontrollvalidierung ist das Verfahren, mit dem eine Zertifizierungsstelle (CA) bestätigt, dass ein Zertifikatsantragsteller die in der Anfrage angegebene Domäne kontrolliert. Die CA/Browser Forum Baseline Requirements definieren mehrere anerkannte Methoden. Die drei gängigsten sind:

• Die DNS-basierte Validierung erfordert, dass der Antragsteller einen TXT-Eintrag unter der Domain veröffentlicht, den die Zertifizierungsstelle anschließend prüft. Dies ist die einzige Methode, die Wildcard-Domains verarbeitet und sich durch Automatisierung problemlos skalieren lässt.
• Die HTTP-basierte Validierung erfordert, dass der Antragsteller eine Datei unter einem bekannten Pfad auf dem Webserver ablegt. Dies funktioniert für einzelne Hosts, stößt aber bei verteilten oder Load-Balancing-Systemen an seine Grenzen.
• Die E-Mail-basierte Validierung erfordert, dass der Antragsteller auf eine an einen Domain-Kontakt gesendete Nachricht antwortet. Dieses Verfahren ist manuell kontrollierbar und wird schrittweise durch eine automatisierte Ausstellung ersetzt.

Für Organisationen mit großem Funktionsumfang ist die DNS-basierte Validierung die praktikabelste Lösung. Sie funktioniert mit Wildcards, lässt sich vollständig über APIs steuern und bildet die Grundlage für die automatisierten Ausstellungsprotokolle , die durch den neuen Zeitplan faktisch verpflichtend werden, insbesondere ACME und dessen DNS-01-Challenge. Sowohl persistente DCV als auch DNS-Konnektoren bauen direkt auf dieser DNS-basierten Grundlage auf.

Was ist persistent DCV (DNS-PERSIST-01)?

Persistent DCV ist eine DNS-basierte Validierungsmethode, die das Erstellen und Löschen eines DNS-Eintrags für jede Zertifikatsausstellung überflüssig macht. Sie wurde als Abschnitt 3.2.2.4.22 mit dem Titel „DNS TXT Record with Persistent Value“ (auch bekannt als DNS-PERSIST-01) in die Baseline Requirements aufgenommen ( Abstimmung SC-088v3 ) und ist seit November 2025 zulässig. Vorgeschlagen wurde sie von Amazon Trust Services und unterstützt unter anderem Google Chrome, DigiCert und Sectigo.

Die Funktionsweise ist einfach. Anstatt für jedes Validierungsereignis einen neuen, temporären Eintrag zu erstellen, veröffentlicht der Domaininhaber einmalig einen einzigen, kontobezogenen TXT-Eintrag unter dem Label _validation-persist.[domain]. Dieser Eintrag identifiziert das CA-Konto des Antragstellers. Anschließend führt die CA automatisch wiederkehrende Validierungsprüfungen anhand desselben Eintrags durch, ohne dass weitere DNS-Änderungen erforderlich sind. Wichtig ist, dass die persistente DCV die Überprüfung der Domaininhaberschaft nicht schwächt. Das CA/Browser Forum fordert, dass sie die gleiche Sicherheit wie bestehende DNS-basierte Methoden bietet. Sie ändert lediglich Zeitpunkt und Art der Überprüfung und führt von ereignisgesteuerten Prüfungen zu einer kontinuierlichen, automatisierten Revalidierung. Die CAs sind weiterhin an die 10-tägige Wiederverwendungsgrenze gebunden, und die persistente DCV bedeutet, dass der zugrunde liegende Eintrag nicht neu erstellt werden muss, um diese Grenze zu erfüllen.

Der Datensatz selbst kodiert, wer zur Ausstellung berechtigt ist. Ein persistenter TXT-Datensatz hat folgendes Format:

_validation-persist.example.com IN TXT (
    "authority.example;" 
    " accounturi=https://authority.example/acct/123;"
    " persistUntil=1782424856"
)

Der Datensatzname identifiziert die Domäne; die Autorität benennt die Zertifizierungsstelle (CA); accounturi identifiziert das zur Ausstellung berechtigte ACME-Konto (gemäß RFC 8657 und stabil über Schlüsselrotationen hinweg gemäß RFC 8555 Abschnitt 7.3.5); und das optionale persistUntil legt ein Ablaufdatum fest. Die CA überprüft diesen einzelnen Datensatz dann bei jeder Ausstellung erneut.

Die betrieblichen Einsparungen skalieren mit der Größe des Domainbestands. Eine Organisation, die 100 Domains viermal jährlich validiert, führt unter dem herkömmlichen DNS-01-Verfahren jährlich etwa 400 DNS-Änderungen durch, im Vergleich zu 100 einmaligen Einträgen unter persistenter DCV.

Ein Kompromiss erfordert besondere Beachtung. Da ein dauerhafter Eintrag die Ausstellung autorisiert, verlagert sich der zu schützende Zugriffspunkt vom DNS-Schreibzugriff auf den ACME-Kontoschlüssel. Behandeln Sie diesen Schlüssel als sensible Zugangsdaten, überwachen Sie den dauerhaften Eintrag auf unerwartete Änderungen und beachten Sie, dass die Ausstellung durch Deaktivierung des ACME-Kontos sofort widerrufen werden kann (RFC 8555 Abschnitt 7.5.2).

Traditionelle DCV vs. persistente DCV

Traditionelles DNS-basiertes DCV	Persistenter DCV (DNS-PERSIST-01)
Für jedes Ausgabeereignis wird ein eindeutiger, temporärer TXT-Datensatz erstellt.	Ein einzelner persistenter TXT-Datensatz wird einmalig unter _validation-persist veröffentlicht.
Der Datensatz wird in jedem Zyklus hinzugefügt, validiert und anschließend entfernt oder rotiert.	Die Zertifizierungsstelle überprüft denselben Datensatz bei jeder Ausstellung erneut; eine DNS-Änderung ist nicht erforderlich.
Die DNS-Koordination wird bei jeder Erneuerung wiederholt, was den Fehlerpunkt darstellt, dessen Häufigkeit mit der Anzahl der Erneuerungen zunimmt.	Die DNS-Koordination erfolgt einmalig bei der Einrichtung; Erneuerungen sind von der DNS-Arbeit entkoppelt.
Wird 8-mal häufiger, wenn die Gültigkeitsdauer auf 47 Tage verkürzt wird.	Die Häufigkeit der Ausgabe von DNS-Anfragen ist nicht mehr ausschlaggebend für die DNS-Auslastung.

Was sind DNS-Konnektoren?

Die persistente DCV reduziert die Häufigkeit erforderlicher DNS-Änderungen; DNS-Konnektoren übernehmen die verbleibenden Änderungen. Ein DNS-Konnektor ist eine Integration zwischen einer Zertifikatslebenszyklusplattform und einem DNS-Anbieter. Er ermöglicht es der Plattform, TXT-Einträge programmatisch über die API des Anbieters zu erstellen, zu aktualisieren und zu validieren, anstatt dass ein DNS-Administrator jede Änderung manuell vornehmen muss.

Dies ist relevant, da der langsamste Teil der DNS-basierten Validierung üblicherweise nicht die DNS-Abfrage selbst, sondern die manuelle Übergabe ist. Ein Zertifizierungsteam fordert einen Eintrag an, ein Netzwerkteam plant die Änderung, ein Genehmigungszeitraum verstreicht, und erst dann kann die Validierung abgeschlossen werden. Bei einer jährlichen Validierung ist diese Verzögerung tolerierbar. Bei Dutzenden von Validierungen pro Domain und Jahr wird sie jedoch zur Hauptursache für Betriebsstörungen und Ausfallrisiken, da eine Verlängerung komplett fehlschlagen kann, wenn der Validierungseintrag nicht rechtzeitig vorhanden ist. Konnektoren eliminieren diese manuelle Übergabe: Die Plattform kommuniziert direkt mit dem DNS-Anbieter, und der Eintrag wird automatisch erstellt, validiert und verwaltet – ganz ohne Ticket.

Wie persistente DCV- und DNS-Konnektoren zusammenarbeiten

Die beiden Funktionen ergänzen sich, sind aber nicht austauschbar. Persistente DCV eliminiert DNS-Anpassungen während des Verlängerungszyklus. DNS-Konnektoren automatisieren die weiterhin notwendigen DNS-Änderungen, einschließlich der Veröffentlichung des initialen persistenten Eintrags und der Integration neuer Domains. In Kombination bieten sie einem Team zwei entscheidende Möglichkeiten:

• Wenn ein persistenter Eintrag verwendet werden kann, werden DNS-Änderungen während der Erneuerung vollständig entfernt, sodass die Ausgabehäufigkeit nicht mehr die DNS-Arbeitslast bestimmt.
• Wo dennoch eine DNS-Änderung erforderlich ist (neue Domains, Ersteinrichtung, Anbieter ohne dauerhafte Unterstützung), führt ein Konnektor diese automatisch und ohne manuelle Koordination aus.

Das Ergebnis ist ein Validierungsworkflow, der sich problemlos skalieren lässt, wenn sowohl das Zertifikatsvolumen als auch die Erneuerungshäufigkeit steigen – genau das, was die Fristen von 2027 und 2029 erfordern.

Leitfaden: Was Sie vor Ablauf der Fristen tun sollten

Das Zeitfenster zur Vorbereitung ist zwar noch offen, schließt sich aber, und die erste Meilensteinregelung mit einer Gültigkeitsdauer von 200 Tagen ist bereits in Kraft. Organisationen, die den Übergang reibungslos gestalten, sind diejenigen, die jetzt die Automatisierung aufbauen, nicht diejenigen, die erst reagieren, wenn 100-Tage-Zertifikate im Jahr 2027 manuelle Arbeitsabläufe untragbar machen. Ein praktischer Ablauf:

1. Erstellen Sie eine Bestandsaufnahme des Zertifikatsbestands. Ermitteln Sie jedes öffentlich vertrauenswürdige Zertifikat, insbesondere jene, deren Gültigkeit nach dem 15. März 2026 abläuft. Lücken in der Zertifikatsliste, also Zertifikate, an die sich niemand erinnert, sind die häufigste Ursache für unbemerkte Ausfälle.
2. Überprüfen Sie veraltete DCV-Datensätze. Identifizieren Sie Validierungsdaten, deren Wiederverwendungsfrist bald abläuft, damit Verlängerungen nicht mangels aktueller Nachweise scheitern.
3. Priorisieren Sie SAN- und Wildcard-Domänen. Diese weisen den höchsten Koordinierungsaufwand und die größte Sensibilität bei engen Zeitvorgaben auf.
4. Führen Sie persistente DCV für etablierte Domains ein. Veröffentlichen Sie jetzt persistente Datensätze, bevor die häufige Aktualisierung eine flächendeckende Umstellung erzwingt.
5. Automatisieren Sie die DNS-Ausführung mit Konnektoren. Verbinden Sie Ihre DNS-Anbieter, sodass die Ersteinrichtung und die Integration neuer Domains nie mehr von manuellen Änderungen der DNS-Einträge abhängen.
6. Standardisieren Sie die automatisierte Ausstellung. Behandeln Sie die öffentliche TLS-Ausstellung als einen kontinuierlichen Dienst, der auf ACME oder einem gleichwertigen Protokoll basiert, und legen Sie eine Frist für die Abschaffung manueller Verlängerungen fest.

CertSecure Manager v3.3: CA-unabhängige DNS-01-Automatisierung

CertSecure Manager ist die herstellerneutrale Zertifikatslebenszyklusmanagement-Plattform von Encryption Consulting. Dank ihres CA-agnostischen Designs ermittelt, stellt aus, erneuert und verwaltet eine einzige Steuerungsebene Zertifikate über alle von einer Organisation genutzten Zertifizierungsstellen hinweg. Gültigkeits- und Validierungsänderungen werden somit zentral und nicht für jede Zertifizierungsstelle einzeln gehandhabt. Fällt ein Zertifikat aus, kann es von einer anderen Zertifizierungsstelle neu ausgestellt werden.

Diese Neutralität ist besonders auf der Ebene der öffentlichen Vertrauenszertifizierungsstellen von Bedeutung, wo die 47-Tage-Frist die größten Auswirkungen hat. CertSecure Manager integriert sich nativ mit den wichtigsten Anbietern öffentlicher Vertrauenszertifizierungsstellen, darunter DigiCert , GlobalSign , Sectigo, Let's Encrypt und Google Public CA, sowie mit privaten Zertifizierungsstellen wie Microsoft AD CS, AWS Private CA und HashiCorp Vault. Unabhängig davon, welche öffentliche Zertifizierungsstelle ein Zertifikat ausstellt, werden Erkennung, Ausstellung, Verlängerung und Validierung über dieselbe Konsole gesteuert.

Für Organisationen, die die DNS-01-Validierung verwalten oder automatisieren möchten, ist CertSecure Manager v3.3 genau für diesen Übergang konzipiert. Encryption Consulting unterstützt Teams aktiv dabei:

• Binden Sie Ihre öffentlichen DNS-Anbieter ein, indem Sie die Anbieter verbinden, die Ihre DNS-Zonen hosten. Dadurch werden DNS-01-Challenge-Einträge programmatisch über eine Vielzahl von Anbietern hinweg erstellt und verifiziert. Dies entfällt die manuelle Übergabe zwischen Zertifikats- und DNS-Teams.
• Verwalten Sie die Domänenvalidierung (DCV) durch geplante Automatisierung, indem Sie wiederkehrende Domänenvalidierungen durchführen, die auf den Erneuerungszyklus von 100-Tage- und 47-Tage-Zertifikaten abgestimmt sind, sodass die DNS-01-Nachweise ohne Eingriff pro Zyklus aktuell bleiben.
• Die Validierung bleibt CA-unabhängig, indem unabhängig davon, welche öffentliche Zertifizierungsstelle das Zertifikat ausstellt, dieselbe DNS-01-Automatisierung angewendet wird, sodass bei einer Konsolidierung oder einem Wechsel des Anbieters der Validierungsworkflow nicht neu aufgebaut werden muss.
• Entwickeln Sie automatisierungsfähige Arbeitsabläufe im gesamten Unternehmen durch kontinuierliche Erkennung, Durchsetzung von Richtlinien und Zero-Touch-Erneuerungsagenten, damit Erneuerungen im Maschinentempo nicht zu einem proportionalen manuellen Aufwand führen.

Ein Blick in den DNS-Bereich von CertSecure Manager zeigt, wie das in der Praxis funktioniert:

Abbildung 1. Onboarding des DNS-Anbieters und Konfiguration des DNS-01-Connectors

Abbildung 2. DNS-01-Domänenvalidierung mit CertSecure Manager

Ziel ist das Betriebsmodell, das dem neuen Zeitplan zugrunde liegt: Die Domainvalidierung wird als koordiniertes, automatisiertes System behandelt und nicht als einmalige Aufgabe bei jeder Verlängerung. Durch frühzeitiges Engagement in Form von Bestandsaufnahme, DNS-Provider-Onboarding und geplanter DCV-Automatisierung erhalten die Teams einen priorisierten Fahrplan, lange bevor die verbindlichen Schwellenwerte in Kraft treten.

Die zentralen Thesen

• Die Gültigkeitsdauer von TLS-Zertifikaten sinkt auf 200 Tage (2026), 100 Tage (2027) und 47 Tage (2029); die Wiederverwendung von DCVs sinkt bis 2029 auf 10 Tage, festgelegt durch die Abstimmung des CA/Browser Forums SC-081v3.
• Bei einer Gültigkeitsdauer von 47 Tagen und einer Wiederverwendungsmöglichkeit von 10 Tagen muss der Domainbesitz pro Domain etwa 35 Mal pro Jahr neu nachgewiesen werden, was weit über das hinausgeht, was eine manuelle Validierung leisten kann.
• Persistent DCV, die DNS-PERSIST-01 Die mit dem Wahlvorschlag SC-088v3 eingeführte und seit November 2025 zulässige Methode ermöglicht die erneute Validierung einer Domain anhand eines einzigen TXT-Eintrags, der einmalig unter _validation-persist veröffentlicht wird, ohne DNS-Änderung bei jeder Verlängerung und ohne Sicherheitsverlust.
• DNS-Konnektoren automatisieren die verbleibenden DNS-Änderungen; zusammen mit persistentem DCV ermöglichen sie eine Skalierung der Validierung mit der Häufigkeit.
• CertSecure Manager v3.3 unterstützt Unternehmen bei der Integration öffentlicher DNS-Anbieter und der Durchführung geplanter DCV-Automatisierungen in einer CA-unabhängigen Umgebung, noch vor den obligatorischen Fristen.

Wie Verschlüsselungsberatung helfen kann

Encryption Consulting ist Spezialist für angewandte Kryptografie und PKI. Neben der Bereitstellung von CertSecure Manager unterstützt unsere PKI-Services-Abteilung Unternehmen bei der durchgängigen Umsetzung der Umstellung auf kürzere Zertifikatslebensdauern – von der ersten Bestandsaufnahme bis zur vollautomatisierten, CA-unabhängigen Domänenvalidierung. Wir helfen Teams dabei:

• Bewerten Sie die 47-Tage-Bereitschaft. Ermitteln Sie jedes öffentlich vertrauenswürdige Zertifikat, decken Sie die Erkennungslücken auf, die zu unbemerkten Ausfällen führen, und erstellen Sie einen priorisierten Migrationsfahrplan für die Meilensteine ​​von 2026 bis 2029.
• Automatisieren Sie die DNS-01-Validierung. Integrieren Sie Ihre öffentlichen DNS-Anbieter und richten Sie eine geplante, CA-unabhängige Domainvalidierung ein, einschließlich persistenter DCV (DNS-PERSIST-01) für etablierte Domains, sodass Erneuerungen von manuellen DNS-Arbeiten entkoppelt werden.
• Implementieren und integrieren Sie CertSecure Manager. Richten Sie die Plattform auf Ihren öffentlichen und privaten Zertifizierungsstellen ein, mit Erneuerungsagenten für die automatische Erneuerung auf Webservern, Load Balancern und internen Anwendungen.
• PKI entwerfen und betreiben. Dies umfasst PKI-Design und -Implementierung sowie verwaltete Optionen. PKI-as-a-Service und HSM-as-a-Serviceeinschließlich des Schutzes der ACME-Kontoschlüssel, die durch persistentes DCV sicherheitskritisch werden.
• Bleiben Sie standardkonform und kryptoagil. Das bedeutet CA/Browser Forum-Konformität, RFC-konforme Validierung und Post-Quanten-Bereitschaft, damit die von Ihnen jetzt aufgebaute Automatisierung auch den nächsten Übergang problemlos übersteht.

Um Ihren Zertifikatsbestand anhand des 47-Tage-Zeitraums zu bewerten und eine Roadmap für die DNS-01-Automatisierung zu erstellen, wenden Sie sich an das PKI-Services-Team von Encryption Consulting.

Fazit

Die Entwicklung ist festgelegt. Bis 2029 werden öffentliche TLS-Zertifikate 47 Tage gültig sein und die Domainvalidierungsnachweise alle 10 Tage ablaufen. Dadurch wird aus einer ehemals jährlichen Formalität eine kontinuierliche Aufgabe. Manuelle DNS-Aktualisierungen und E-Mail-basierte Validierung können mit diesem Tempo nicht mithalten. Persistente DCV (DNS-PERSIST-01) beseitigt die DNS-Änderung bei jeder Verlängerung für etablierte Domains, und DNS-Konnektoren automatisieren die verbleibenden Änderungen. So kann die Domainvalidierung mit der Ausstellungshäufigkeit skalieren, anstatt daran zu scheitern.

Organisationen, die diesen Übergang reibungslos gestalten, sind diejenigen, die sich vor Inkrafttreten der Schwellenwerte vorbereiten. Sie inventarisieren ihre Infrastruktur, integrieren ihre DNS-Anbieter und stellen die Domainvalidierung auf eine zeitgesteuerte, CA-unabhängige Automatisierung um – solange 200-Tage-Zertifikate noch Spielraum für Anpassungen bieten. Die Domainvalidierung entwickelt sich zu einer Hintergrundinfrastruktur; die Herausforderung besteht nun darin, einen reibungslosen Betrieb bis zum Stichtag 2027 zu gewährleisten.

Weiterführende Informationen finden Sie bei Encryption Consulting.

Weiterführende Informationen zu den oben genannten Fristen, Protokollen und Automatisierungsmaßnahmen:

• Das Mandat des CA/Browser-Forums behandelt die Gültigkeitsreduzierungen, die Frist für die duale EKU im Juni 2026 und die damit verbundenen Anforderungen.
• Öffentliches CA vs. privates CA erklärt, wann man welches Tool verwendet und wie man eine Automatisierung für den 47-Tage-Zeitraum aufbaut.
• Auswahl eines Zertifikatsanmeldeprotokolls Vergleicht ACME, EST, SCEP und CMP für kurzlebige Zertifikate.
• Was ist das ACME-Protokoll? erklärt, wie die Challenge-Response-Validierung, einschließlich DNS-01, tatsächlich funktioniert.
• ACME-Clients unter Linux behandelt Certbot, acme.sh, die Abdeckung von DNS-Anbietern und die Frage, wo eine zentrale Governance ihren Platz hat.
• Skalierung des Zertifikatslebenszyklus durch Automatisierung zeigt, wie man häufige Vertragsverlängerungen in einen ereignisgesteuerten, automatisierten Prozess umwandelt.
• CertSecure Manager v3.3 beschreibt detailliert, was die neue Version für die höhere Erneuerungsfrequenz bietet.
• Zentralisierung der Ausstellung von Let's Encrypt- und DNS-01-Zertifikaten mit CertSecure Manager Umfasst die DNS-01-Challenge-Validierung über alle öffentlichen DNS-Anbieter hinweg, zentral gesteuert.