dns-01 doğrulama: wildcard ve iç alan adları için DNS API'leri
Kurumsal ortamlarda sertifikaların önemli bölümü dışarıdan erişilemeyen sistemlerde ya da wildcard biçiminde. İkisi için de tek yol dns-01; bu da DNS sağlayıcısını sertifika sürecinin parçası yapar.
6 Eylül 2026 · 6 dk okuma
Nasıl çalışır
- Yetkilendirme01
Otorite, alan adı için bir belirteç verir.
- TXT kaydı02
İstemci, _acme-challenge.alanadi altına belirtecin özetini TXT kaydı olarak yazar; bunu DNS sağlayıcı API'siyle yapar.
- Yayılma03
Kaydın otoritenin sorgulayacağı yetkili ad sunucularında görünmesi beklenir.
- Sorgu04
Otorite kaydı doğrular; sertifika verilir.
- Temizlik05
TXT kaydı silinir.
Neden gerekli
- Wildcard
- *.sirket.com yalnız dns-01 ile alınabilir.
- İç sistemler
- Dışarıdan erişilemeyen bir sunucu için http-01 çalışmaz; alan adı herkese açık DNS'te tanımlıysa dns-01 çalışır.
- Tek merkez
- Doğrulama sunucuda değil DNS'te yapıldığı için yüzlerce sistemin sertifikası tek bir merkezden alınabilir.
Bölünmüş DNS ve devretme
Kurum içi alan adları çoğu zaman iç DNS'te tanımlıdır; otorite ise yalnız herkese açık DNS'i sorgular. Çözüm, _acme-challenge kayıtlarını yönetilebilir ayrı bir bölgeye devretmektir.
- Herkese açık bölgede _acme-challenge.uygulama.sirket.com için bir CNAME oluşturulur; hedef, yalnız doğrulama için kullanılan ayrı bir bölgedir.
- İstemci TXT kaydını o ayrı bölgeye yazar; ana bölgenin API anahtarı istemciye verilmez.
- Böylece iç sistemlerin adları herkese açık DNS'te tanımlansa bile IP adresleri açıklanmaz; yalnız doğrulama kaydı görünür.
API yetkileri ve güvenlik
- Sağlayıcı anahtarına en dar yetki verilir: yalnız ilgili bölge, yalnız TXT kaydı. Cloudflare, Route 53, Azure DNS ve Google Cloud DNS yetkiyi bölge düzeyinde kısıtlamayı destekler.
- Anahtar bir kasada saklanır; günlüklere ve yapılandırma dosyalarına düz metin yazılmaz.
- Yayılma kontrolü, otoritenin göreceği yetkili ad sunucularına doğrudan sorguyla yapılır; iç çözümleyiciye güvenilmez.
- Doğrulamadan sonra TXT kayıtları temizlenir; biriken kayıtlar bölgeyi kirletir.
Sık sorulan sorular
- DNS sağlayıcımızın API'si yok, ne yapmalıyız?
- Yalnız _acme-challenge kayıtlarını, API'si olan bir sağlayıcıdaki ayrı bölgeye CNAME ile devredin; ana bölge yerinde kalır.
- Yayılma ne kadar sürer?
- Sağlayıcıya göre saniyelerle dakikalar arası. Otorite doğrudan yetkili sunuculara sorduğu için TTL beklemek gerekmez; yine de kontrol edilmelidir.
- http-01 daha kolay değil mi?
- Herkese açık tek bir sunucu için evet. Wildcard, iç sistemler ve merkezi yönetim için dns-01 gerekir.
Kaynaklar
Diğer yazılar
Sertifikalarınızı tek yerden yönetin
Envanter, süre takibi, ACME ile yenileme ve doğrulanmış kurulum; kendi altyapınızda.