EN

Start / Acmefyer / Wildcard-Zertifikat

AcmefyerAgentenbasierter Zertifikatsmanager

Wildcard-Zertifikat mit Let’s Encrypt, automatisch erneuert.

Ein Zertifikat für *.example.com deckt jeden Namen direkt unter Ihrer Domain ab: www, mail, vpn, intranet. Let’s Encrypt stellt es kostenlos aus, aber nur über die DNS-Prüfung. Acmefyer legt den Prüfeintrag bei Ihrem DNS-Anbieter selbst an, erneuert das Zertifikat rechtzeitig und spielt es auf allen Servern ein, die es brauchen.

Acmefyer ansehen Dokumentation
01DNS-01Warum ein Wildcard-Zertifikat nur per DNS geht

So funktioniert die DNS-Prüfung.

Für ein Wildcard-Zertifikat will die Zertifizierungsstelle sehen, dass Ihnen die ganze Domain gehört, nicht nur ein Webserver. Deshalb verlangt sie einen TXT-Eintrag mit einem Prüfwert unter dem Namen _acme-challenge:

_acme-challenge.example.com.  300  IN  TXT  "gfj9Xq...Rg85nM"

Von Hand heißt das bei jeder Erneuerung: Prüfwert holen, Eintrag beim DNS-Anbieter anlegen, warten, bis er sichtbar ist, Prüfung auslösen, Eintrag wieder löschen. Acmefyer macht das über die Schnittstelle Ihres DNS-Anbieters selbst.

Abdeckung
*.example.com gilt für www.example.com oder mail.example.com, aber nicht für a.b.example.com und nicht für example.com selbst. Acmefyer nimmt example.com deshalb mit ins Zertifikat.
Weitere Namen
Namen, die der Platzhalter schon abdeckt, lässt Acmefyer weg, weil die Zertifizierungsstelle sie sonst ablehnt.
DNS-Anbieter
Rund 190, darunter Cloudflare, Hetzner, IONOS, INWX, netcup, all-inkl, AutoDNS, Azure DNS, Amazon Route 53 und Google Cloud DNS, dazu eigene DNS-Server über RFC 2136.
Interne Zone
Beantwortet Ihr eigener DNS-Server die Zone anders als das Internet, typisch mit Active Directory, fragt Acmefyer öffentliche DNS-Server wie Cloudflare oder Quad9, um den Prüfeintrag zu sehen.
Ohne Port 80
Bei DNS-01 muss kein Server aus dem Internet erreichbar sein. Das geht auch für interne Server mit öffentlichem Namen.
02RolloutEin Zertifikat, viele Server

Einmal ausgestellt, überall eingespielt.

Der Vorteil eines Wildcard-Zertifikats ist, dass es auf vielen Systemen passt. Genau dort wird es mühsam: Jede Erneuerung muss auf jeden Webserver, jedes Mailsystem und jede Firewall. Acmefyer verteilt das neue Zertifikat nach jeder Erneuerung an alle Ziele, über Agenten auf den Zielsystemen.

Ein Hinweis zur Sicherheit: Der private Schlüssel eines Wildcard-Zertifikats liegt dann auf jedem dieser Systeme. Wo nur wenige Namen gebraucht werden, ist ein Zertifikat je Dienst die vorsichtigere Wahl. Acmefyer kann beides.

Windows
IIS, Exchange, HTTP.sys-Anwendungen, MailStore Server, PRTG, ScriptRunner, Windows-Zertifikatsspeicher
Linux
NGINX, Apache, Traefik (auch im Container), HAProxy, Tomcat, Gitea und jeder Dienst, der PEM-Dateien liest, etwa Postfix oder Proxmox
Firewall
FortiGate per REST-API, über einen Agenten in der DMZ
Dateien
PEM und PFX in einen Ordner oder auf eine Windows-Freigabe, per SSH auf andere Server, Webhook
03EinrichtenEinmal einrichten, danach läuft es von selbst
  1. 01

    Zugang zum DNS

    Das API-Token Ihres DNS-Anbieters hinterlegen, einmal je Konto oder Projekt.

  2. 02

    Domain anlegen

    *.example.com mit Let’s Encrypt und DNS-01. Acmefyer nimmt example.com selbst mit auf.

  3. 03

    Ziele wählen

    Die Agenten zeigen, wo das Zertifikat gebraucht wird. Je Ziel ein Klick.

  4. 04

    Fertig

    Acmefyer erneuert das Wildcard-Zertifikat ab jetzt rechtzeitig und spielt es überall ein.

04FragenHäufige Fragen zum Wildcard-Zertifikat

Ist ein Wildcard-Zertifikat von Let’s Encrypt kostenlos?

Ja. Let’s Encrypt stellt Wildcard-Zertifikate kostenlos aus, wie jedes andere Zertifikat. Auch Acmefyer ist dafür kostenlos: Ohne Lizenzschlüssel verwaltet es eine Domain mit einer Subdomain oder einem Wildcard-Zertifikat und einen Agenten, mit allen Funktionen.

Warum geht ein Wildcard-Zertifikat nicht über HTTP-01?

Bei HTTP-01 beweist ein einzelner Webserver, dass er unter einem Namen erreichbar ist. Ein Wildcard-Zertifikat gilt aber für alle Namen unter der Domain. Die Zertifizierungsstellen verlangen deshalb den Beweis über das DNS der Domain, also DNS-01.

Deckt *.example.com auch example.com ab?

Nein, der Platzhalter gilt nur für Namen darunter, und nur eine Ebene tief. Acmefyer nimmt example.com deshalb von selbst mit ins Zertifikat. Für Namen wie a.b.example.com braucht es ein eigenes Zertifikat oder *.b.example.com.

Mein DNS-Anbieter hat keine Schnittstelle. Was nun?

Acmefyer kennt rund 190 Anbieter. Fehlt Ihrer, gibt es zwei übliche Wege: den Eintrag _acme-challenge per CNAME an eine Zone bei einem Anbieter mit Schnittstelle delegieren oder einen eigenen DNS-Server über RFC 2136 ansprechen.

Wie oft wird das Wildcard-Zertifikat erneuert?

Acmefyer erneuert jedes Zertifikat 30 Tage vor Ablauf und legt dafür jedes Mal einen neuen Prüfeintrag an. Bei den kürzeren Laufzeiten ab 2027 und 2029 läuft das genauso, nur öfter.