DNS-validatie automatiseren met CertSecure Manager: Permanente DCV- en DNS-connectoren

Domeincontrolevalidatie (DCV) is de stap waarbij een certificeringsinstantie bevestigt dat degene die een certificaat heeft aangevraagd, daadwerkelijk de controle heeft over het domein waarvoor het certificaat bedoeld is. Voor de meeste teams was dit een jaarlijkse taak die stilletjes werd afgehandeld tijdens de verlenging. Die aanname is echter niet langer van toepassing. Het mandaat van het CA/Browser Forum heeft een vast schema vastgelegd dat de levensduur van certificaten verkort van 398 dagen nu naar 47 dagen in 2029, en het heeft tegelijkertijd de periode aangescherpt waarin bewijsmateriaal voor domeinvalidatie opnieuw kan worden gebruikt. Wanneer een certificaat elke zes tot zeven weken opnieuw moet worden uitgegeven, moet de bijbehorende validatie gelijke tred houden.

Twee mogelijkheden maken dat tempo vol te houden: persistente DCV (de DNS-PERSIST-01-methode), een validatiemethode waarmee een domein opnieuw kan worden geverifieerd aan de hand van één record dat eenmaal is gepubliceerd, en DNS-connectoren, die de DNS-wijzigingen automatiseren die nog steeds nodig zijn voor validatie. Dit artikel legt uit wat elk van deze methoden inhoudt, de exacte deadlines voor de wijziging, de operationele berekeningen erachter en een praktisch stappenplan om je voor te bereiden.

De deadlines die de verandering aansturen

In april 2025 keurde het CA/Browser Forum stembiljet SC-081v3 goed, getiteld "Introduce Schedule of Reducing Validity and Data Reuse Periods", met 29 stemmen voor en geen tegen. Het stembiljet, oorspronkelijk voorgesteld door Apple, beschrijft een gefaseerde verlaging van zowel de maximale levensduur van publiekelijk vertrouwde TLS-certificaten als de periode waarin validatiegegevens opnieuw kunnen worden gebruikt. Elk publiekelijk vertrouwd TLS-certificaat wordt hierdoor beïnvloed, ongeacht of het om DV-, OV- of EV-certificaten gaat, inclusief wildcard- en multi-domeincertificaten (SAN).

Ingangsdatum	Maximale TLS-geldigheid	DCV-hergebruikperiode	SII-hergebruik (OV/EV)
Tot en met 14 maart 2026	398 dagen	398 dagen	825 dagen
15 maart 2026	200 dagen	200 dagen	398 dagen
15 maart 2027	100 dagen	100 dagen	398 dagen
15 maart 2029	47 dagen	10 dagen	398 dagen

De geldigheidsduur en de limieten voor hergebruik van DCV gelden vanaf de datum waarop een certificaat wordt uitgegeven, niet vanaf de datum waarop een bestelling wordt geplaatst.

De periode waarin Subject Identity Information (SII) voor OV- en EV-certificaten opnieuw gebruikt mag worden, daalt van 825 naar 398 dagen op 15 maart 2026. Deze wijziging maakt een einde aan het "instellen en vergeten"-model voor certificaten met een hoge mate van betrouwbaarheid. Voor een volledig overzicht van de gerelateerde mandaten, inclusief de aparte deadline voor Chrome dual-EKU op 15 juni 2026, zie onze analyse van het CA/Browser Forum-mandaat . Dezelfde verschuiving heeft ook gevolgen voor de keuze tussen een publieke en een private CA.

Waarom kortere certificaten handmatige domeinvalidatie verstoren

De uitdaging zit hem niet in het certificaat zelf, maar in de frequentie van heruitgifte. Neem bijvoorbeeld een organisatie met 1,000 publiekelijk erkende certificaten. Met een geldigheidsduur van 398 dagen genereert dit aantal certificaten momenteel ongeveer 1,000 verlengingsaanvragen per jaar. Tegen 2029, met een geldigheidsduur van 47 dagen, genereert hetzelfde aantal certificaten meer dan 8,000 verlengingsaanvragen per jaar, wat neerkomt op een achtvoudige toename van identiek werk.

Validatie wordt hierdoor nog directer beïnvloed. Wanneer de hergebruiksperiode van DCV's wordt verkort tot 10 dagen, terwijl certificaten 47 dagen geldig zijn, moet het domeineigendom per domein ongeveer 35 keer per jaar opnieuw worden bewezen. Validatie via e-mail en eenmalige plaatsing van HTTP-bestanden kunnen niet met die frequentie worden uitgevoerd. De teams die het meest kwetsbaar zijn, zijn degenen die grote domeinportfolio's beheren, SAN-certificaten die veel domeinen onder één validatie samenvoegen, en wildcarddomeinen. Het risico is het grootst wanneer het DNS-eigendom is verdeeld over netwerk-, infrastructuur- en platformteams, en waar elke wijziging wacht op een wijzigingsbeheerticket.

De implicatie is duidelijk. Bij de door machines bepaalde vernieuwingsfrequenties is handmatig certificaatbeheer niet langer haalbaar en wordt het schalen van certificaatprocessen door middel van automatisering de norm. De vraag is welke vorm van automatisering het meeste operationele risico wegneemt.

Wat is domeincontrolevalidatie (DCV)?

Domeincontrolevalidatie is het proces dat een certificeringsinstantie (CA) gebruikt om te bevestigen dat een certificaataanvrager de domeinnaam beheert die in het verzoek wordt genoemd. De basisvereisten van het CA/Browser Forum definiëren verschillende geaccepteerde methoden. De drie meest gebruikte methoden zijn:

• DNS-gebaseerde validatie vereist dat de aanvrager een TXT-record onder het domein publiceert, dat vervolgens door de certificeringsinstantie wordt gecontroleerd. Dit is de enige methode die wildcard-domeinen ondersteunt en soepel schaalbaar is door middel van automatisering.
• HTTP-gebaseerde validatie vereist dat de aanvrager een bestand op een bekend pad op de webserver plaatst. Dit werkt prima voor individuele hosts, maar wordt lastig bij gedistribueerde of load-balanced systemen.
• Validatie via e-mail vereist dat de aanvrager reageert op een bericht dat naar een contactpersoon binnen het domein is gestuurd. Deze methode is afhankelijk van menselijke tussenkomst en wordt geleidelijk vervangen door geautomatiseerde uitgifte.

Voor organisaties die op grote schaal opereren, is DNS-gebaseerde validatie de meest praktische keuze. Het werkt voor wildcards, kan volledig via API's worden aangestuurd en vormt de basis voor de geautomatiseerde uitgifteprotocollen die de nieuwe tijdlijn feitelijk verplicht stelt, met name ACME en de bijbehorende DNS-01-uitdaging. Zowel persistente DCV- als DNS-connectoren bouwen direct voort op deze DNS-gebaseerde basis.

Wat is persistent DCV (DNS-PERSIST-01)?

Persistent DCV is een op DNS gebaseerde validatiemethode die het aanmaken en verwijderen van een DNS-record voor elke uitgifte overbodig maakt. Het werd toegevoegd aan de Baseline Requirements als sectie 3.2.2.4.22, getiteld "DNS TXT Record with Persistent Value" en algemeen bekend als DNS-PERSIST-01, via stemming SC-088v3 , en werd een toegestane methode in november 2025. Het werd voorgesteld door Amazon Trust Services en onderschreven door onder andere Google Chrome, DigiCert en Sectigo.

Het mechanisme is eenvoudig. In plaats van voor elke validatiegebeurtenis een nieuw, tijdelijk record aan te maken, publiceert de domeineigenaar eenmalig een TXT-record met accountbereik, onder het label _validation-persist.[domein]. Dat record identificeert het CA-account van de aanvrager. Vanaf dat moment voert de CA automatisch terugkerende validatiecontroles uit op hetzelfde record, zonder dat verdere DNS-wijzigingen nodig zijn. Belangrijk is dat persistente DCV de verificatie van domeineigendom niet verzwakt. Het CA/Browser Forum vereist het om een ​​beveiliging te bieden die gelijkwaardig is aan bestaande DNS-gebaseerde methoden. Het verandert wanneer en hoe verificatie plaatsvindt, van gebeurtenisgestuurde controles naar continue, geautomatiseerde hervalidatie. CA's blijven gebonden aan dezelfde hergebruikslimiet van 10 dagen, en persistente DCV betekent dat het onderliggende record nooit opnieuw hoeft te worden opgebouwd om hieraan te voldoen.

Het document zelf codeert wie bevoegd is om de gegevens uit te geven. Een permanent TXT-document heeft de volgende vorm:

_validation-persist.example.com IN TXT (
    "authority.example;" 
    " accounturi=https://authority.example/acct/123;"
    " persistUntil=1782424856"
)

De recordnaam identificeert het domein; authority noemt de CA; accounturi identificeert het ACME-account dat gemachtigd is om licenties uit te geven (conform RFC 8657, en stabiel tijdens sleutelrotaties onder RFC 8555 Sectie 7.3.5); en de optionele persistUntil stelt een vervaldatum in. De CA controleert vervolgens deze ene record opnieuw bij elke uitgifte.

De operationele besparing is evenredig met de omvang van het domein. Een organisatie die 100 domeinen vier keer per jaar valideert, voert jaarlijks ongeveer 400 DNS-wijzigingen uit met de conventionele DNS-01-methode, vergeleken met 100 eenmalige records met de persistente DCV-methode.

Eén afweging verdient expliciete aandacht. Omdat een permanent record de uitgifte autoriseert, verschuift het te beschermen object van DNS-schrijftoegang naar de ACME-accountsleutel. Beschouw die sleutel als een gevoelige referentie, controleer het permanente record op onverwachte wijzigingen en houd er rekening mee dat de uitgifte onmiddellijk kan worden ingetrokken door het ACME-account te deactiveren (RFC 8555 Sectie 7.5.2).

Traditionele DCV versus aanhoudende DCV

Traditionele DNS-gebaseerde DCV	Permanente DCV (DNS-PERSIST-01)
Voor elke uitgiftegebeurtenis wordt een uniek, tijdelijk TXT-record aangemaakt.	Een enkel persistent TXT-record wordt eenmalig gepubliceerd op _validation-persist.
Het record wordt elke cyclus toegevoegd, gevalideerd en vervolgens verwijderd of geroteerd.	De certificeringsinstantie controleert bij elke uitgifte hetzelfde record opnieuw; er is geen DNS-wijziging nodig.
De DNS-coördinatie wordt bij elke vernieuwing herhaald, wat het zwakke punt is dat toeneemt met de frequentie.	DNS-coördinatie vindt eenmalig plaats tijdens de installatie; verlengingen zijn losgekoppeld van DNS-werkzaamheden.
Het komt 8 keer vaker voor naarmate de geldigheidsduur wordt verkort tot 47 dagen.	De frequentie van uitgifte is niet langer bepalend voor de DNS-werkbelasting.

Wat zijn DNS-connectoren?

Persistente DCV vermindert de frequentie waarmee DNS-wijzigingen nodig zijn; DNS-connectoren verwerken de resterende wijzigingen. Een DNS-connector is een integratie tussen een certificaatlevenscyclusplatform en een DNS-provider, waardoor het platform TXT-records programmatisch kan aanmaken, bijwerken en valideren via de API van de provider, in plaats van dat een DNS-beheerder elke wijziging handmatig moet doorvoeren.

Dit is belangrijk omdat het traagste onderdeel van DNS-gebaseerde validatie meestal niet de DNS-lookup is, maar de overdracht door een medewerker. Een certificeringsteam vraagt ​​een record aan, een netwerkteam plant de wijziging in, een goedkeuringsperiode verstrijkt en pas dan kan de validatie worden voltooid. Bij een jaarlijkse frequentie is die vertraging acceptabel. Bij tientallen validaties per domein per jaar wordt het echter de belangrijkste bron van zowel operationele vertraging als uitvalrisico, omdat een verlenging volledig kan mislukken als het validatierecord niet op tijd aanwezig is. Connectoren elimineren de overdracht: het platform communiceert rechtstreeks met de DNS-provider en het record verschijnt, wordt gevalideerd en beheerd zonder dat er een ticket nodig is.

Hoe persistente DCV- en DNS-connectoren samenwerken

De twee mogelijkheden vullen elkaar aan, ze zijn niet uitwisselbaar. Persistent DCV elimineert DNS-contactmomenten tijdens de verlengingscyclus. DNS-connectoren automatiseren de DNS-wijzigingen die nog steeds nodig zijn, waaronder het publiceren van het initiële persistente record en het onboarden van nieuwe domeinen. Samen bieden ze een team twee verschillende mogelijkheden:

• Wanneer een permanent record kan worden gebruikt, worden DNS-wijzigingen tijdens de vernieuwing volledig geëlimineerd, waardoor de uitgiftefrequentie niet langer bepalend is voor de DNS-belasting.
• Wanneer een DNS-wijziging nog steeds nodig is (nieuwe domeinen, initiële configuratie, providers zonder permanente ondersteuning), voert een connector deze automatisch uit, zonder handmatige tussenkomst.

Het netto-effect is een validatieproces dat soepel meegroeit met zowel het certificaatvolume als de vernieuwingsfrequentie, precies wat de deadlines van 2027 en 2029 vereisen.

Richtlijnen: wat te doen vóór de deadlines verstrijken

De voorbereidingstijd is er, maar de tijd dringt, en de eerste mijlpaal van 200 dagen geldigheid is al bereikt. De organisaties die soepel overstappen, zijn de organisaties die nu al automatisering implementeren, niet de organisaties die pas reageren wanneer certificaten van 100 dagen handmatige workflows in 2027 onhoudbaar maken. Een praktische aanpak:

1. Inventariseer het certificaatportfolio. Zoek alle publiekelijk erkende certificaten op, met name die certificaten die na 15 maart 2026 verlopen. Ontdekkingshiaten, oftewel certificaten die niemand zich herinnert, zijn de grootste oorzaak van stille storingen.
2. Controleer verouderde DCV-gegevens. Identificeer validatiegegevens waarvan de hergebruikstermijn bijna is verlopen, zodat verlengingen niet mislukken vanwege een gebrek aan actueel bewijsmateriaal.
3. Geef prioriteit aan SAN- en wildcarddomeinen. Deze brengen de hoogste coördinatiekosten met zich mee en zijn het meest gevoelig binnen strakke deadlines.
4. Gebruik permanente DCV voor bestaande domeinen. Publiceer nu permanente records, voordat de vernieuwingsfrequentie de overstap op grote schaal noodzakelijk maakt.
5. Automatiseer DNS-uitvoering met connectors. Verbind uw DNS-providers zodat de initiële configuratie en het toevoegen van nieuwe domeinen nooit meer afhankelijk zijn van handmatige wijzigingen in de records.
6. Standaardiseer op geautomatiseerde uitgifte. Beschouw de uitgifte van openbare TLS-certificaten als een continue dienst die wordt aangestuurd door ACME of een gelijkwaardig protocol, en stel een beleidstermijn vast voor het uitfaseren van handmatige verlengingen.

CertSecure Manager v3.3: CA-onafhankelijke DNS-01-automatisering

CertSecure Manager is het leveranciersneutrale platform voor certificaatlevenscyclusbeheer van Encryption Consulting. Dankzij het CA-agnostische ontwerp detecteert, verstrekt, vernieuwt en beheert één centraal controlepaneel certificaten van alle certificeringsinstanties waarmee een organisatie werkt. Hierdoor worden toekomstige wijzigingen in geldigheid en validatie centraal afgehandeld in plaats van per instantie, en kan een certificaat opnieuw worden uitgegeven door een andere CA als een certificaat niet meer geldig is.

Deze neutraliteit is vooral belangrijk op het niveau van publieke vertrouwensinstanties, waar de termijn van 47 dagen de grootste impact heeft. CertSecure Manager integreert naadloos met de belangrijkste publieke vertrouwensinstanties, waaronder DigiCert , GlobalSign , Sectigo, Let's Encrypt en Google Public CA, naast private instanties zoals Microsoft AD CS, AWS Private CA en HashiCorp Vault. Ongeacht welke publieke CA een certificaat uitgeeft, worden de ontdekking, uitgifte, verlenging en validatie vanuit dezelfde console beheerd.

Voor organisaties die specifiek DNS-01-validatie willen beheren of automatiseren, is CertSecure Manager v3.3 precies voor deze overgang ontwikkeld. Encryption Consulting ondersteunt teams actief bij:

• Integreer hun openbare DNS-providers door de providers te koppelen die uw DNS-zones hosten, zodat DNS-01-uitdagingsrecords programmatisch worden aangemaakt en geverifieerd bij een breed scala aan providers. Dit elimineert de handmatige overdracht tussen certificaat- en DNS-teams.
• Beheer DCV via geplande automatisering door terugkerende domeinvalidatie uit te voeren die is afgestemd op de vernieuwingsfrequentie van certificaten met een geldigheidsduur van 100 en 47 dagen, zodat het DNS-01-bewijs actueel blijft zonder dat er per cyclus tussenkomst nodig is.
• Zorg ervoor dat de validatie CA-onafhankelijk blijft door dezelfde DNS-01-automatisering toe te passen, ongeacht welke openbare CA het certificaat uitgeeft. Op die manier hoeft de validatieworkflow niet opnieuw te worden opgebouwd bij het samenvoegen of overstappen naar een andere provider.
• Bouw automatiseringsklare workflows binnen de gehele organisatie door middel van continue detectie, beleidshandhaving en zero-touch verlengingsagents, zodat verlengingen in machinetempo niet leiden tot evenredige handmatige inspanning.

Een blik op het DNS-gedeelte van CertSecure Manager laat zien hoe dit in de praktijk samenkomt:

Afbeelding 1. DNS-provider onboarding en DNS-01 connectorconfiguratie

Afbeelding 2. DNS-01 domeinvalidatie met CertSecure Manager

Het doel is het operationele model dat de nieuwe tijdlijn veronderstelt: domeinvalidatie wordt behandeld als een gecoördineerd, geautomatiseerd systeem in plaats van een eenmalige taak die bij elke verlenging wordt herhaald. Door vroegtijdig te beginnen met inventarisatie, het onboarden van DNS-providers en geplande DCV-automatisering krijgen teams een geprioriteerde routekaart ruim voordat de verplichte drempelwaarden van kracht worden.

Key afhaalrestaurants

• De geldigheidsduur van TLS-certificaten daalt naar 200 dagen (2026), 100 dagen (2027) en 47 dagen (2029); hergebruik van DCV's daalt naar 10 dagen in 2029, zoals vastgesteld door CA/Browser Forum Ballot SC-081v3.
• Met een geldigheidsduur van 47 dagen en een hergebruiksperiode van 10 dagen moet het domeineigendom ongeveer 35 keer per jaar per domein opnieuw worden bewezen, wat veel te veel is voor handmatige validatie.
• Aanhoudende DCV, de DNS-PERSIST-01 De methode die is geïntroduceerd door Ballot SC-088v3 en is toegestaan ​​sinds november 2025, maakt het mogelijk om een ​​domein opnieuw te valideren aan de hand van een enkel TXT-record dat eenmaal is gepubliceerd op _validation-persist, zonder dat er bij elke verlenging een DNS-wijziging plaatsvindt en zonder verlies van beveiliging.
• DNS-connectoren automatiseren de resterende DNS-wijzigingen; samen met persistente DCV zorgen ze ervoor dat validatie schaalbaar is met de frequentie.
• CertSecure Manager v3.3 helpt organisaties bij het onboarden van openbare DNS-providers en het uitvoeren van geplande DCV-automatisering in een CA-onafhankelijke omgeving, ruim vóór de verplichte deadlines.

Hoe Encryption Consulting u kan helpen

Encryption Consulting is specialist op het gebied van toegepaste cryptografie en PKI. Naast CertSecure Manager biedt onze PKI Services-praktijk organisaties ondersteuning bij de volledige implementatie van kortere certificaatlevensduren, van de eerste inventarisatie tot volledig geautomatiseerde, CA-onafhankelijke domeinvalidatie. Wij helpen teams bij:

• Beoordeel de gereedheid binnen 47 dagen. Ontdek alle publiekelijk vertrouwde certificaten, breng de hiaten in de detectie aan het licht die stille storingen veroorzaken en stel een migratieplan op met prioriteiten voor de mijlpalen van 2026 tot 2029.
• Automatiseer DNS-01-validatie. Voeg uw openbare DNS-providers toe en stel geplande, CA-onafhankelijke domeinvalidatie in, inclusief permanente DCV (DNS-PERSIST-01) voor bestaande domeinen, zodat verlengingen losgekoppeld zijn van handmatig DNS-werk.
• Implementeer en integreer CertSecure Manager. Zet het platform op voor al uw openbare en private CA's, met verlengingsagents voor automatische verlenging op webservers, loadbalancers en interne applicaties.
• Ontwerp en beheer PKI. Dit omvat het ontwerp en de implementatie van PKI, samen met beheermogelijkheden. PKI-as-a-Service en HSM-as-a-Serviceinclusief de bescherming van de ACME-accountsleutels, wat door de permanente DCV-beveiliging cruciaal is.
• Blijf voldoen aan de standaarden en wees cryptografisch flexibel. Dit betekent naleving van CA/Browser Forum-richtlijnen, validatie conform RFC's en gereedheid voor de post-quantum-revolutie, zodat de automatisering die u nu bouwt, ook na de volgende transitie blijft functioneren.

Om uw certificatenportfolio te beoordelen aan de hand van de termijn van 47 dagen en een routekaart voor DNS-01-automatisering op te stellen, kunt u contact opnemen met het PKI Services-team van Encryption Consulting.

Conclusie

De ontwikkeling is onomstotelijk. Tegen 2029 zullen openbare TLS-certificaten 47 dagen geldig zijn en zal het bewijs van domeinvalidatie elke 10 dagen verlopen. Dit maakt van wat ooit een jaarlijkse formaliteit was een continue operationele taak. Handmatige DNS-updates en validatie via e-mail kunnen dit tempo niet bijhouden. Persistent DCV (DNS-PERSIST-01) elimineert de DNS-wijziging bij elke verlenging voor bestaande domeinen, en DNS-connectoren automatiseren de resterende wijzigingen; samen zorgen ze ervoor dat domeinvalidatie kan meegroeien met de uitgiftefrequentie in plaats van dat deze daardoor vastloopt.

De organisaties die deze transitie soepel doorstaan, zijn de organisaties die zich voorbereiden voordat de drempelwaarden ingaan. Ze inventariseren hun domeinen, voegen hun DNS-providers toe en zetten domeinvalidatie nu al over op geplande, CA-onafhankelijke automatisering, zolang certificaten met een geldigheidsduur van 200 dagen nog ruimte bieden voor aanpassingen. Domeinvalidatie wordt steeds meer een achtergrondproces; de uitdaging is om ervoor te zorgen dat het soepel verloopt voordat de deadline van 2027 dit afdwingt.

Gerelateerde artikelen van Encryption Consulting

Meer informatie over de hierboven besproken deadlines, protocollen en automatisering is beschikbaar:

• Het mandaat van CA/Browser Forum Dit artikel behandelt de beperkingen op de geldigheidsduur, de deadline van juni 2026 voor het duale EKU-programma en de bijbehorende vereisten.
• Openbare CA versus particuliere CA legt uit wanneer je welke methode moet gebruiken en hoe je automatisering kunt opzetten voor de periode van 47 dagen.
• Het kiezen van een certificaatinschrijvingsprotocol Vergelijkt ACME, EST, SCEP en CMP voor kortlopende certificaten.
• Wat is het ACME-protocol? legt uit hoe challenge-response-validatie, inclusief DNS-01, daadwerkelijk werkt.
• ACME-clients op Linux Dit artikel behandelt Certbot, acme.sh, de dekking van DNS-providers en de rol van centraal beheer.
• Schaalvergroting van certificaatlevenscyclusprocessen met automatisering laat zien hoe je frequente verlengingen kunt omzetten in een gebeurtenisgestuurd, automatisch proces.
• CertSecure Manager v3.3 beschrijft in detail wat de release toevoegt voor de hogere vernieuwingsfrequentie.
• Centraliseer de uitgifte van Let's Encrypt- en DNS-01-certificaten met CertSecure Manager. Omvat de validatie van de DNS-01-uitdaging bij alle openbare DNS-providers, centraal beheerd.