ACME nedir? Otomatik sertifika yenileme nasıl çalışır?

Doğrulama yöntemleri

http-01

Otorite, alan adının 80 numaralı portunda belirli bir dosyayı ister. Basittir; ancak wildcard için kullanılamaz ve herkese açık bir HTTP ucu gerektirir.

dns-01

_acme-challenge alt alan adına bir TXT kaydı yazılır. Wildcard ve dışarıdan erişilemeyen iç sistemler için tek yol; DNS sağlayıcı API erişimi gerektirir.

tls-alpn-01

Doğrulama, 443 portundaki TLS el sıkışması içinde yapılır (RFC 8737). Yük dengeleyici arkasındaki sistemlerde kullanımı sınırlıdır.

Yenileme zamanlaması

• Genel kural: kalan sürenin yaklaşık üçte biri kaldığında yenileyin. 90 günlük sertifikada 30 gün, 47 günlük sertifikada yaklaşık 15 gün önce.
• Yenileme fırtınasından kaçının: aynı gün alınan sertifikalar aynı gün yenilenir; yenileme zamanına küçük rastgele kaydırma eklenir.
• ACME Renewal Information (RFC 9773): otorite, her sertifika için önerilen yenileme penceresini bildirir; olay durumunda erken yenileme isteyebilir.
• Otoritelerin hız sınırları vardır; toplu ilk kurulumlarda sınırlar önceden planlanır.

Hangi otoriteler ACME sunar

Let's Encrypt

Ücretsiz, alan adı doğrulamalı, 90 günlük sertifikalar; en yaygın ACME otoritesi.

Ticari otoriteler

Birçok ticari otorite kurumsal hesaplar için ACME uçları sunar; kurum doğrulaması hesaba bir kez bağlanır, sonraki ihraçlar otomatik yapılır.

Kurum içi PKI

Smallstep step-ca ve HashiCorp Vault PKI gibi ürünler kurum içi ACME sunar. ACME konuşmayan otoriteler için elle ya da aracı süreçler kalır.

ACME'nin kapsamadığı yer

ACME sertifikayı alır; hedef sisteme kurmaz, servisi yeniden yüklemez, sonucu doğrulamaz. Kurumsal ortamda asıl iş bu ikinci yarıdadır.

• Sertifika ve anahtar hedef sisteme güvenle taşınmalı; özel anahtar üretildiği yerde kalmalı.
• Servis kesintisiz yeniden yüklenmeli; yapılandırma testi geçmeden yeniden yükleme yapılmamalı.
• Hedefin gerçekten yeni sertifikayı sunduğu doğrulanmalı; başarısızlıkta yedekten dönülmeli.
• Her adım kayıt altına alınmalı.