Een certificaatinschrijvingsprocedure kiezen: ACME vs. EST vs. SCEP vs. CMP

Certificaatregistratieprotocollen bepalen hoe een systeem een ​​digitaal certificaat aanvraagt, verkrijgt, verlengt en intrekt zonder menselijke tussenkomst. Gedurende het grootste deel van de geschiedenis van PKI was de protocolkeuze een administratieve aangelegenheid, omdat certificaten een jaar of langer geldig waren en verlengingen gemakkelijk handmatig konden worden afgehandeld. Dat tijdperk loopt ten einde. De kortere geldigheidsduur van openbare TLS-certificaten heeft protocolselectie tot een operationele noodzaak gemaakt, en het protocol dat u kiest, bepaalt nu of uw certificaatportfolio schaalbaar is of bezwijkt onder het grote aantal verlengingen. Kortere geldigheidsduur stuwt het hele ecosysteem ook richting crypto-flexibiliteit, omdat certificaten die om de paar weken worden vernieuwd het veel gemakkelijker maken om nieuwe algoritmen uit te rollen wanneer post-kwantumstandaarden beschikbaar komen.

Dit artikel vergelijkt de vier protocollen die dominant zijn in de certificaatregistratie voor bedrijven: ACME, EST, SCEP en CMP. Elk protocol is ontworpen voor een andere context: webautomatisering, registratie van moderne apparaten, verouderde netwerkapparatuur en volledig lifecyclemanagement voor bedrijven. In de praktijk hebben de meeste grote omgevingen echter meer dan één protocol nodig. We bespreken waarom de tijdslijn dit urgent maakt, hoe elk protocol werkt, waar elk protocol het beste tot zijn recht komt en hoe u een protocolstrategie kunt ontwikkelen die ook na de overstap naar kortstondige certificaten relevant blijft.

Waarom is dit nu belangrijk?

Drie factoren komen samen waardoor certificaatautomatisering urgent wordt: de geldigheidsduur van certificaten neemt af, de mogelijkheid om validatiebewijs te hergebruiken krimpt eveneens, en het browserecosysteem maakt automatisering een voorwaarde voor vertrouwen. Samen zorgen ze ervoor dat protocolselectie niet langer een backoffice-optimalisatie is, maar een operationele vereiste op korte termijn, en teams die ruim voor de deadlines overstappen op automatiseerbare protocollen worden beloond.

De 200-dagen-afgrond is de drijvende kracht.

Het CA/Browser Forum keurde in april 2025 voorstel SC-081v3 goed, waarmee een gefaseerde verlaging van de geldigheidsduur van openbare TLS-certificaten werd vastgesteld. Volgens het voorstel daalt de maximale geldigheidsduur naar 200 dagen vanaf 15 maart 2026, naar 100 dagen vanaf 15 maart 2027 en naar 47 dagen vanaf 15 maart 2029. In de praktijk implementeren certificeringsinstanties de eerste stap iets eerder en voorzichtiger, waarbij DigiCert vanaf 24 februari 2026 certificaten uitgeeft met een maximale geldigheidsduur van 199 dagen.

Deze cijfers geven de maximale geldigheidsduur van de vergunningen weer; certificeringsinstanties geven doorgaans één dag te weinig uit, vandaar dat 200 dagen 199 dagen wordt. De geldigheidsduur wordt namelijk tot op de seconde nauwkeurig gemeten, en zelfs een seconde overschrijding van de limiet telt als een onjuiste uitgifte. De fase van 200 dagen is nog te overbruggen met gedisciplineerde handmatige processen, maar het is wel de laatste fase. De overgang naar 100 dagen in 2027 en naar 47 dagen in 2029 maakt handmatige verlenging onhoudbaar, waardoor teams nu al overstappen op automatisering in plaats van af te wachten.

Ook de domeinvalidatie neemt af.

Levensduur is slechts de helft van de kans. De periode waarin bewijsmateriaal voor domeincontrolevalidatie kan worden hergebruikt, neemt in hetzelfde tempo af: van 398 dagen nu naar 200 dagen in 2026, 100 dagen in 2027 en slechts 10 dagen in de laatste fase. Dit betekent dat domeinvalidatie vrijwel continu moet plaatsvinden bij elke verlenging. Een protocol dat de uitgifte automatiseert, maar niet de validatie, lost het probleem niet op. ACME's challenge-response-validatie is juist aantrekkelijk omdat het zowel de validatie als de uitgifte automatiseert.

Chrome verplicht ondersteuning voor automatisering.

Het browserecosysteem versterkt deze tijdlijn. Sinds februari 2024 accepteert het Chrome Root Program alleen nieuwe CA-aanvragers als ze ten minste één geautomatiseerde oplossing voor certificaatuitgifte en -vernieuwing ondersteunen voor elk certificaattype dat ze uitgeven. Dit maakt ACME een basisvereiste en verdringt handmatige CSR- en e-mailgebaseerde vernieuwingsworkflows uit nieuwe openbare PKI's. Een aparte wijziging in Chrome, die op 15 juni 2026 van kracht wordt, vereist dat publiek vertrouwde TLS-certificaten beperkt blijven tot serverauthenticatie. Dit verschuift clientauthenticatie en mTLS-gebruiksscenario's naar private PKI's en verhoogt de waarde van protocollen die de registratie van apparaten en gebruikers kunnen automatiseren. Automatisering verschuift van een concurrentievoordeel naar een voorwaarde voor deelname.

De vier protocollen uitgelegd

Vier protocollen domineren de certificaatregistratie voor bedrijven, en elk protocol is ontwikkeld voor een ander probleem, van webautomatisering tot volledig beheer van de levenscyclus van bedrijfscertificaten. De onderstaande paragrafen leggen uit hoe ACME, EST, SCEP en CMP werken, wat de beveiliging ervan is en waar elk protocol een rol speelt, alvorens ze naast elkaar te vergelijken.

ACME (RFC 8555)

De Automated Certificate Management Environment (ACME), gedefinieerd in RFC 8555 en ontwikkeld door Let's Encrypt, automatiseert de levenscyclus van certificaten voor webdiensten en vormt nu de basis van de meeste publiekelijk vertrouwde TLS-certificaten. De belangrijkste kracht ervan is de geautomatiseerde domeincontrolevalidatie via een challenge-response-mechanisme (HTTP-01, DNS-01 en TLS-ALPN-01), en het maakt gebruik van eenvoudige JSON over HTTPS, beveiligd met JWS. Oorspronkelijk ontwikkeld voor openbare webcertificaten, wordt het steeds vaker gebruikt voor interne PKI's, en uitbreidingen zoals External Account Binding en ACME Renewal Information (ARI) zorgen ervoor dat het relevant blijft naarmate de levensduur van certificaten korter wordt.

EST (RFC 7030)

Enrollment over Secure Transport (EST), gedefinieerd in RFC 7030, is een eenvoudiger, aan de standaarden voldoend alternatief voor CMP dat gebruikmaakt van HTTPS en vertrouwt op TLS voor beveiliging in plaats van berichtbeveiliging op protocolniveau. Het ondersteunt inschrijving, herinschrijving, het ophalen van CA-certificaten en het genereren van sleutels aan de serverzijde, waarbij PKCS#10-verzoeken worden uitgewisseld voor PKCS#7-antwoorden. EST is geschikt voor moderne apparaten die al een HTTPS-stack hebben, met name MDM- en IoT-apparaten, hoewel die stack zwaar kan zijn voor apparaten met beperkte resources.

SCEP (RFC 8894, informatief)

Het Simple Certificate Enrollment Protocol (SCEP) ontstond eind jaren negentig voor de registratie van netwerkapparaten en werd op grote schaal gebruikt in routers, switches en VPN-concentrators. Het maakt gebruik van HTTP-transport met Cryptographic Message Syntax en wordt in Microsoft-omgevingen meestal via NDES beschikbaar gesteld. De ouderdom van SCEP is merkbaar in een zwakker beveiligingsmodel, beperkte functionaliteit en verouderde cryptografie. Omdat RFC 8894 slechts informatief is en geen standaard, wordt SCEP gestaag vervangen door EST. Het blijft echter noodzakelijk voor oudere apparatuur die geen andere protocollen ondersteunt, dus de veiligste aanpak is om het protocol af te schermen en volgens een vastgestelde planning te vervangen.

CMP (RFC 4210)

Het Certificate Management Protocol (CMP), gestandaardiseerd in RFC 4210, biedt het meest uitgebreide lifecyclemanagement van de vier protocollen: de berichten bevatten hun eigen beveiliging, onafhankelijk van het transportmiddel, waardoor echte end-to-end beveiliging mogelijk is voor initiële aanvragen, verlengingen, intrekkingen, sleutelgeneratie en sleutelherstel. Een Lightweight CMP Profile (RFC 9483, 2023) breidt dit uit naar toepassingen met beperkte resources en industriële toepassingen. CMP is goed ingeburgerd in de telecommunicatie, waar 3GPP het specificeert voor mobiele netwerkapparatuur, maar de keerzijde is de complexiteit, de vereiste ASN.1-afhandeling en de beperkte commerciële CA-ondersteuning.

Vergelijking zij aan zij

Protocol	Standaard	Vervoer/beveiliging	Beste pasvorm	Levenscyclusbereik
ACME	RFC 8555	JSON via HTTPS, JWS	Webservers, load balancers, DevOps, cloud	Uitgifte en verlenging, geautomatiseerde DCV
EST	RFC 7030	HTTPS, TLS wederzijdse authenticatie	Moderne apparaten, MDM, IoT met HTTPS	Inschrijving, herinschrijving en CA-opvraging
SCEP	RFC 8894 (Informatief)	HTTP met CMS	Oudere routers, switches en firewalls	Alleen basisinschrijving en verlenging.
CMP	RFC 4210	Transportonafhankelijk, berichtniveau	Complexe onderneming, overheid, defensie	Volledige levenscyclus inclusief sleutelherstel

Risico's en valkuilen

Het onzorgvuldig kiezen of toepassen van inschrijvingsprotocollen introduceert eigen faalmogelijkheden, vooral met de nieuwe vernieuwingsfrequentie. De onderstaande tabel vat de risico's samen die een certificeringsprogramma het vaakst doen mislukken naarmate de geldigheidsduur korter wordt, met een uitleg waarom elk risico belangrijk is en wat de kosten ervan doorgaans zijn.

Challenge	Waarom dit zo belangrijk is	consequentie
Handmatige vernieuwing op grote schaal	Certificaten van 200 dagen worden eerst 100 en daarna 47 dagen.	Storingen en gemiste verlengingen door toenemend volume.
Protocol wildgroei	Verschillende segmenten vereisen verschillende protocollen.	Operationele complexiteit en gefragmenteerd inzicht.
Legacy SCEP-afhankelijkheid	Oude apparaten ondersteunen niets anders.	Zwakke cryptografie en een beperkte PQC-roadmap blijven bestaan.
Validatieknelpunten	De hergebruikstermijn van DCV daalt tot ongeveer 10 dagen.	De verlenging mislukt als de validatie niet geautomatiseerd is.
Architectuurmismatch in CA	CMP en EST stellen eisen aan de CA-zijde.	Protocollen kunnen niet zomaar achteraf worden ingebouwd.

De berekening voor verlenging is meedogenloos.

Bij kortere levensduur neemt de operationele belasting sterk toe. Neem bijvoorbeeld een organisatie die momenteel ongeveer 1,000 certificaatverlengingen per jaar verwerkt: met een verlengingstermijn van 47 dagen genereert dezelfde inventaris meer dan 8,000 verlengingsprocessen per jaar, omdat elk certificaat veel vaker opnieuw moet worden uitgegeven. Geen enkel handmatig proces kan een achtvoudige toename opvangen. Het grootste deel van die belasting blijft onzichtbaar totdat er een probleem optreedt, omdat elke verlenging een certificaatondertekeningsverzoek, een domeinvalidatie, een uitgifte en een implementatie omvat die allemaal moeten slagen zonder dat iemand toezicht hoeft te houden. De protocolkeuze bepaalt of dit volume automatisch wordt verwerkt of een terugkerende bron van storingen en noodreparaties buiten kantooruren wordt.

Tekortkomingen van native platformen dwingen teams richting SCEP.

Een veelvoorkomende en vaak onderschatte beperking is het platform zelf. Microsoft AD CS biedt geen native ondersteuning voor ACME, EST of CMP; de ingebouwde geautomatiseerde inschrijving is beperkt tot automatische inschrijving van Windows-clients en SCEP via de Network Device Enrollment Service (NDES). Dit beperkt gemengde omgevingen effectief tot SCEP en handmatige webinschrijving. Teams die ACME-automatisering willen gebruiken maar AD CS draaien, hebben vaak een extra platform of gateway nodig om de kloof te overbruggen. Dit is een bewuste ontwerpkeuze en geen latere toevoeging.

Beste praktijken voor implementatie

Het kiezen van een registratieprotocol is zelden een binaire keuze; de ​​meeste bedrijven gebruiken er minstens twee parallel, elk voor een ander segment. Het doel is niet om te standaardiseren op één enkel protocol, maar om elk protocol af te stemmen op de workloads die het het beste ondersteunt, terwijl het beheer en de zichtbaarheid uniform blijven op één platform, zoals CertSecure Manager van Encryption Consulting.

• Gebruik ACME voor webgerichte TLS: Voor webservers, loadbalancers, reverse proxies en elke internetgerichte service waar domeincontrolevalidatie gewenst is, is ACME de duidelijke keuze en de optie die het meest direct in het voordeel is van de verkorte levensduur.
• Gebruik EST voor moderne apparaten: Waar apparaten HTTPS ondersteunen maar niet de volledige levenscyclus van CMP nodig hebben, biedt EST een praktische tussenoplossing voor MDM en IoT en is het de aanbevolen opvolger van SCEP voor nieuwe implementaties.
• Gebruik CMP voor complexe bedrijfslevenscycli: Waar u volledige controle over de levenscyclus, sleutelherstel en transportonafhankelijke berichtbeveiliging nodig hebt voor diverse certificaatprofielen, met name in de overheid, defensie en gereguleerde sectoren, is CMP de beste optie.
• Beschouw SCEP als een overgangsoplossing: behoud SCEP alleen voor oudere netwerkapparatuur zonder EST- of CMP-client en plan een migratietraject naar EST voor apparaten die dit ondersteunen, waarbij SCEP-eindpunten worden uitgefaseerd naarmate de hardware wordt vernieuwd. CBOM Secure is beschikbaar op de plekken waar SCEP nog steeds draait, zodat de migratie prioriteit kan krijgen.
• Ontwerp de CA-architectuur voor de protocollen die u nodig hebt: Omdat CMP's proof-of-possession en EST's mutual TLS eisen stellen aan de CA-zijde, is het belangrijk om protocolondersteuning vanaf het begin in de CA te integreren in plaats van deze achteraf toe te voegen. De PKI- en CLM-adviesdiensten van Encryption Consulting helpen u hierbij vanaf dag één.
• Consolideer op een platform met meerdere protocollen: implementeer een platform zoals dat van Encryption Consulting. CertSecure Manager Dat ondersteunt alle vier protocollen vanuit één interface, zodat u een uniform overzicht hebt, ongeacht hoe elk certificaat is uitgegeven. Dit in tegenstelling tot het gebruik van een apart inschrijvingssysteem per protocol, wat het overzicht versnippert en de operationele kosten verhoogt.
• Test de belasting voordat de deadlines naderen: Bij systemen met meer dan ongeveer tienduizend certificaten ligt de bottleneck vaak bij de ondertekeningssnelheid van de HSM, de prestaties van de CA-database en de netwerklatentie, in plaats van bij het protocol zelf. Test daarom de volledige uitgifte met een realistisch volume ruim voordat een deadline dit noodzakelijk maakt. Het HSM-as-a-Service- en adviesteam van Encryption Consulting helpt bij het bepalen van de benodigde capaciteit en het valideren ervan.

Wat betekent dit voor beveiligingsteams?

De overstap naar geautomatiseerde inschrijving raakt vrijwel elk team dat certificaten uitgeeft of gebruikt, niet alleen de PKI-groep. De verantwoordelijkheden verschillen per functie, maar de verkorte geldigheidsduur verhoogt de risico's voor iedereen, omdat een gemiste verlenging nu veel sneller als een storing voor de gebruiker aan het licht komt dan in het tijdperk van jaarlijkse certificaten.

• PKI-teams De eigen protocolselectie en de CA-architectuurbeslissingen die bepalen welke protocollen überhaupt mogelijk zijn, het gebied van PKI en CLM van Encryption Consulting. adviesdiensten meest directe ondersteuning.
• DevSecOps-teams afhankelijk zijn van ACME voor het uitgeven en verlengen van certificaten binnen pipelines zonder menselijke tussenkomst naarmate de geldigheidsduur korter wordt, een workflow CertSecure Manager automatiseert het hele proces.
• Cloudbeveiligingsteams We hebben behoefte aan geautomatiseerde uitgifte voor Kubernetes, load balancers en beheerde services waar de certificaatverloop het hoogst is. CertSecure Manager geeft certificaten uit en beheert deze vanuit één interface.
• IAM-teams Wij hechten belang aan EST en CMP voor de registratie van apparaat- en gebruikersidentiteiten, met name voor mTLS en server-naar-server authenticatie, zoals beschreven door Encryption Consulting. PKI-as-a-Service kan ondersteunen.
• Infrastructuur ingenieurs Het bestaande netwerk, waar SCEP nog steeds actief is, in stand houden door gebruik te maken van CBOM Secure om een ​​inventarisatie ervan te maken voordat de uiteindelijke vervanging wordt gepland.
• CISO's Het risico op uitval en nalevingsproblemen loopt u als handmatige verlenging aanhoudt tot na 100 en 47 dagen, en u vertrouwt op de inzichten die CBOM Secure en CertSecure Manager bieden om verantwoording af te leggen aan besturen en auditors over uitval als gevolg van certificaten.

Hoe kan encryptieconsulting u helpen?

Het kiezen van het juiste inschrijfprotocol is slechts de eerste stap; het implementeren ervan op de schaal die certificaten van 200 en 47 dagen vereisen, is waar de meeste teams hulp bij nodig hebben. Encryption Consulting biedt het platform, het inzicht en de expertise om protocolstrategie om te zetten in betrouwbare, geautomatiseerde processen.

• CertSecure Manager: Ons platform voor certificaatlevenscyclusbeheer verstrekt, verlengt en volgt certificaten voor ACME, EST, SCEP en CMP vanuit één enkele interface, zodat automatisering en inzicht niet versnipperd raken over de verschillende protocollen.
• CBOM Secure: Cryptografische ontdekking en een cryptografische materiaallijst (Cryptography Bill of Materials) catalogiseren elk certificaat, de protocollen die het ondersteunt en de systemen die ervan afhankelijk zijn, zodat u weet wat er vóór de volgende deadline geautomatiseerd moet worden geregistreerd.
• PKI-as-a-Service: Een beheerde, private PKI voor interne services en apparaten waar kortstondige publieke certificaten niet geschikt zijn, met de inschrijvingsprotocollen die uw omgeving vereist.
• HSM-as-a-Service: Hardwarematige bescherming voor de ondertekeningssleutels achter de protocollen die uw CA gebruikt, zonder de kosten van het opzetten van een eigen HSM-netwerk.
• PKI- en CLM-adviesdiensten: Praktische hulp bij het ontwerpen van CA-architectuur, het selecteren van protocollen en de migratie van het verouderde SCEP-protocol, zodat protocolondersteuning vanaf het begin is ingebouwd in plaats van achteraf te worden toegevoegd.

Samen stellen deze technologieën een organisatie in staat om certificaten uit te geven vanuit een gecontroleerde, geautomatiseerde, multi-protocol basis en om steeds kortere geldigheidsduren en veranderende validatieregels als routinehandelingen te verwerken. Om uw gereedheid voor de 200-dagen- en 47-dagenfasen te beoordelen, kunt u contact opnemen met Encryption Consulting voor een roadmap voor certificaatdetectie en -automatisering.

Conclusie

De vier inschrijvingsprotocollen bestaan ​​omdat certificaatuitgifte zich afspeelt in zeer uiteenlopende omgevingen, en geen enkel protocol al deze omgevingen dekt. ​​ACME is de ruggengraat geworden van geautomatiseerde webcertificaatuitgifte en het protocol dat het meest profiteert van de verkorte levensduur; EST is de moderne opvolger van het verouderde SCEP; CMP blijft het meest complete lifecycle-protocol voor complexe en gereguleerde omgevingen; en SCEP blijft alleen bestaan ​​waar verouderde apparatuur geen alternatief meer biedt.

De overstap naar certificaten met een geldigheidsduur van 200 dagen in maart 2026, en naar certificaten met een geldigheidsduur van 47 dagen in 2029, heeft de onderliggende vraag beantwoord: handmatige verlenging is verleden tijd en automatisering is verplicht. Kies ACME voor webgerichte TLS, EST voor moderne apparaten, CMP voor de volledige levenscyclus van de onderneming en beschouw SCEP als een protocol dat u wilt beheren en waar u uiteindelijk vanaf wilt stappen. De organisaties die het beste presteren, zullen dit niet zien als een eenmalig project, maar als een permanente verschuiving naar geautomatiseerde, beleidsgestuurde uitgifte. Beheer dit vanuit één centraal platform met een duidelijke cryptografische inventaris, en de kortere geldigheidsduur van certificaten wordt een beheersbare operationele verandering in plaats van een constant risico op storingen.

Uiteindelijk is de overstap naar certificaten met een korte levensduur minder een kwestie van overleven dan van het adopteren van een nieuw operationeel model. Organisaties die elke verkorting van de levensduur als een eenmalige noodsituatie beschouwen, zullen constant brandjes moeten blussen; organisaties die geautomatiseerde, protocolbewuste uitgifte in hun infrastructuur integreren, zullen de fasen van 200, 100 en 47 dagen als routine beschouwen. De praktische eerste stap is inzicht: elk certificaat in de organisatie kennen, het protocol dat het gebruikt en het systeem dat ervan afhankelijk is. Van daaruit zorgt het koppelen van elke workload aan het juiste protocol en het uitvoeren ervan vanuit één beheerd platform ervoor dat een kortere certificaatlevensduur niet langer een terugkerende bron van storingen is, maar een voorspelbaar, goed beheerd achtergrondproces wordt.