ACME im Detail · 18.3
ACME-Profile
Manche CAs bieten unter einem ACME-Directory mehrere Arten von Zertifikaten an, zum Beispiel mit unterschiedlicher Gültigkeit. Diese Varianten heissen Profile. Die CA listet sie in ihrem Directory auf (meta.profiles), und der Client wählt beim Bestellen eines Zertifikats eines davon über den Namen. ACME-Profile sind ein IETF-Entwurf, der noch kein RFC ist.
- Auswahl pro Zertifikat: Bietet das Directory des Providers Profile an, zeigt der Tab Settings eines ACME-Zertifikats das Feld Profile. Der Standard CA default sendet kein Profil, sodass die CA ihren Standard verwendet. Die Liste zeigt zudem die Profile, die die CA aktuell anbietet, mit ihrer Beschreibung. Ohne Profile im Directory ist das Feld ausgeblendet. Profile, die eine CA später einführt, erscheinen ohne Update.
- Profil nicht angeboten: Bietet die CA ein gespeichertes Profil nicht an, protokolliert TLSPilot eine Warnung, fällt auf den Standard der CA zurück und zeigt einen Hinweis in Next action. Lehnt die CA ein Profil ab (
invalidProfile), zeigt TLSPilot eine klare Meldung und wiederholt den Versuch nicht in einer Schleife. - Kurzlebige Profile: Profile wie
shortlivedwerden zu ihrem eigenen geplanten Zeitpunkt erneuert. Die Erneuerung folgt dem eigenen Zeitplan des Profils, nicht dem Deployment- und Health-Zyklus. - PowerShell:
New-TLSPilotCertificate -Profilewählt das Profil in Skripten.
| CA | Profil | Gültigkeit | Hinweise |
|---|---|---|---|
| Let’s Encrypt | classic | 90 Tage; 64 Tage ab 10.02.2027; 45 Tage ab 16.02.2028 | Standardprofil, bis zu 100 Namen |
| Let’s Encrypt | tlsserver | 45 Tage | Bis zu 25 Namen, ohne Common Name |
| Let’s Encrypt | shortlived | 160 Stunden (etwa 6 Tage) | Bis zu 25 Namen. Let’s Encrypt stellt Zertifikate für IP-Adressen nur mit diesem Profil aus, TLSPilot akzeptiert bei ACME aber keine IP-Adressen; verwenden Sie die Enterprise CA oder die Private CA. |
| Google Trust Services | minimal, standard | Von der CA festgelegt | GTS verlangt EAB |
| ZeroSSL, Sectigo, DigiCert ONE | – | – | Keine Profile angeboten (Stand 09.10.2026); das Feld Profile ist ausgeblendet |
TLSPilot liest die Profile aus dem Directory der CA und bietet sie im Feld Profile eines ACME-Zertifikats an, siehe Abbildung Vom ACME-Provider angebotene Profile im Feld Profile.
