Unser DNS-Anbieter hat keine API. Was nun?

Delegieren Sie nur die _acme-challenge-Einträge per CNAME an eine separate Zone bei einem Anbieter mit API; die Hauptzone bleibt, wo sie ist.

Wie lange dauert die Propagation?

Je nach Anbieter Sekunden bis Minuten. Da die Zertifizierungsstelle die autoritativen Server direkt abfragt, muss nicht auf TTLs gewartet werden; geprüft werden sollte es trotzdem.

Ist http-01 nicht einfacher?

Für einen einzelnen öffentlichen Server ja. Wildcards, interne Systeme und zentrale Verwaltung brauchen dns-01.

Ratgeber

dns-01-Validierung: DNS-APIs für Wildcards und interne Namen

In Unternehmensumgebungen liegt ein großer Teil der Zertifikate auf Systemen, die von außen nicht erreichbar sind, oder es sind Wildcards. Für beides ist dns-01 der einzige Weg, womit der DNS-Anbieter Teil des Zertifikatsprozesses wird.

6. September 2026 · 6 Min. Lesezeit

So funktioniert es

Autorisierung01
Die Zertifizierungsstelle stellt ein Token für die Domain aus.
TXT-Eintrag02
Der Client schreibt einen Digest des Tokens als TXT-Eintrag unter _acme-challenge.domain, über die API des DNS-Anbieters.
Propagation03
Der Eintrag muss auf den autoritativen Nameservern erscheinen, die die Zertifizierungsstelle abfragen wird.
Abfrage04
Die Zertifizierungsstelle prüft den Eintrag; das Zertifikat wird ausgestellt.
Bereinigung05
Der TXT-Eintrag wird entfernt.

Warum es gebraucht wird

Wildcards: *.company.com lässt sich nur mit dns-01 beziehen.
Interne Systeme: http-01 kann für einen Server, der von außen nicht erreichbar ist, nicht funktionieren; dns-01 funktioniert, solange der Name im öffentlichen DNS existiert.
Eine zentrale Stelle: Weil die Validierung im DNS und nicht auf dem Server stattfindet, können Zertifikate für Hunderte Systeme von einem zentralen System bezogen werden.

Split-Horizon-DNS und Delegation

Interne Namen sind meist im internen DNS definiert, während die Zertifizierungsstelle nur das öffentliche DNS abfragt. Die Lösung ist, die _acme-challenge-Einträge an eine separate, verwaltbare Zone zu delegieren.

In der öffentlichen Zone wird für _acme-challenge.app.company.com ein CNAME angelegt, der auf eine separate, nur für die Validierung genutzte Zone zeigt.
Der Client schreibt den TXT-Eintrag in diese separate Zone; der API-Schlüssel der Hauptzone wird dem Client nie übergeben.
Interne Namen können im öffentlichen DNS existieren, ohne IP-Adressen preiszugeben; nur der Validierungseintrag ist sichtbar.

API-Berechtigungen und Sicherheit

Geben Sie dem Anbieter-Schlüssel den engsten Geltungsbereich: nur die betreffende Zone, nur TXT-Einträge. Cloudflare, Route 53, Azure DNS und Google Cloud DNS unterstützen die Beschränkung des Schlüssels auf eine einzelne Zone.
Bewahren Sie den Schlüssel in einem Vault auf; nie im Klartext in Logs oder Konfigurationsdateien.
Prüfen Sie die Propagation durch direkte Abfrage der autoritativen Nameserver, also derjenigen, die die Zertifizierungsstelle sieht; verlassen Sie sich nicht auf den internen Resolver.
Entfernen Sie TXT-Einträge nach der Validierung; Rückstände verunreinigen die Zone.

Häufige Fragen

Unser DNS-Anbieter hat keine API. Was nun?: Delegieren Sie nur die _acme-challenge-Einträge per CNAME an eine separate Zone bei einem Anbieter mit API; die Hauptzone bleibt, wo sie ist.
Wie lange dauert die Propagation?: Je nach Anbieter Sekunden bis Minuten. Da die Zertifizierungsstelle die autoritativen Server direkt abfragt, muss nicht auf TTLs gewartet werden; geprüft werden sollte es trotzdem.
Ist http-01 nicht einfacher?: Für einen einzelnen öffentlichen Server ja. Wildcards, interne Systeme und zentrale Verwaltung brauchen dns-01.

Quellen

Verwalten Sie Ihre Zertifikate an einem Ort

Inventar, Ablaufüberwachung, Verlängerung über ACME und verifizierte Installation, in Ihrer eigenen Infrastruktur.

Demo anfragen