ACME-Zertifikat (AC)

Dieses Beispiel stellt ein Zertifikat von einem öffentlichen ACME-Provider mit der Challenge DNS-01 aus.

1. Klicken Sie unten links in der Desktop Admin Console auf New Certificate.
2. Source: Wählen Sie ACME und den ACME-Provider. Der Hinweis lautet Public certificates from an enabled ACME CA. Wie Sie weitere ACME-Provider hinzufügen, beschreibt Kapitel ACME-Einstellungen.

3. Names: Geben Sie den Common Name ein, zum Beispiel «app02.tlspilotlab.com», und bei Bedarf unter Domains / SANs weitere Namen. Manche ACME-Provider unterstützen keine Wildcard-Namen.
4. Settings: Die verfügbaren Optionen hängen vom ACME-Provider ab. Die Gültigkeit legt der Provider fest; verkürzt er sie, passt TLSPilot sie automatisch an. Konfigurieren Sie die folgenden Einstellungen:

• ACME (Abschnitt): Environment: Wählen Sie Staging oder Production, sofern der Provider beides anbietet. Der Standard stammt aus den TLSPilot-Einstellungen.
• Key algorithm, Profile und On CA emergency stehen nebeneinander in einer Zeile. Key algorithm: Wählen Sie den vom Provider unterstützten Schlüsselalgorithmus. Der Standard stammt aus den TLSPilot-Einstellungen.
• Profile: Erscheint nur, wenn der ACME-Provider Profile anbietet. Sie wählen das Profil pro Zertifikat: Die Liste enthält CA default und die vom Provider angebotenen Profile. Belassen Sie CA default, sofern Sie kein bestimmtes Profil brauchen, siehe Kapitel ACME-Profile. Bietet der Provider das gewählte Profil nicht an, verwendet TLSPilot den CA-Standard und zeigt einen Hinweis.

• On CA emergency: Erscheint nur bei ACME-Zertifikaten. Wählen Sie Global setting, um dem globalen Schalter auf dem Tab ACME providers der Einstellungen zu folgen, siehe Kapitel ACME-Einstellungen, On, um ihn für dieses Zertifikat einzuschalten, oder Off, um ihn für dieses Zertifikat auszuschalten. Ist er eingeschaltet, erneuert TLSPilot das Zertifikat sofort, wenn die CA ihr Erneuerungsfenster vorzieht, zum Beispiel nach einem Massenwiderruf. Bei ausgeschaltetem Schalter wird dieses Fenster zu einem zufälligen Zeitpunkt erneuert und im nächsten Zyklus verteilt. Belassen Sie Global setting, sofern dieses Zertifikat kein anderes Verhalten braucht.
• Challenge type: Wählen Sie DNS-01, um nachzuweisen, dass Ihnen alle Domainnamen im Zertifikat gehören. HTTP-01 und TLS-ALPN-01 beschreibt Kapitel Weitere Challenge-Typen.

• DNS provider: Wählen Sie Ihren DNS-Provider, zum Beispiel ClouDNS. Neben den integrierten Providern werden mit dem Provider RFC 2136 (BIND / PowerDNS / Knot …) alle DNS-Server unterstützt, die RFC 2136 DNS UPDATE mit TSIG akzeptieren; dafür ist nsupdate auf dem Management-Host nötig. Ist Ihr Provider nicht aufgeführt und unterstützt er RFC 2136 nicht, wählen Sie DNS Manual, siehe Kapitel Manuelle DNS-Validierung. Für Hetzner wählen Sie Hetzner (Cloud DNS). Sein Credential braucht ein Hetzner-Cloud-API-Token aus der Hetzner Console; Tokens der Hetzner DNS Console funktionieren nicht.
• DNS credential: Wählen Sie das Credential für Ihren DNS-Provider. Bei Validate on the real domain names listet TLSPilot unter Required TXT records: eine Zeile pro TXT-Eintrag auf, zum Beispiel • tlspilotlab.com TXT _acme-challenge.app02.tlspilotlab.com. Ein Klick auf die Zone oder den Namen kopiert sie. Das Credential muss API-Zugriff auf jede aufgeführte Zone haben. Gibt es noch keines, klicken Sie auf Manage… und erfassen im Credentials Manager die Zugangsdaten für die API Ihres DNS-Providers, für ClouDNS zum Beispiel Auth ID und Auth Password. Klicken Sie auf Save und schliessen Sie den Credentials Manager. Das Credential wird dann automatisch ausgewählt.

• Renewal window (before expiry): Für ein neues Zertifikat setzt TLSPilot das Fenster anhand der erwarteten Laufzeit des gewählten ACME-Profils: ein Drittel der Laufzeit, höchstens 30 Tage. Bei Laufzeiten unter 10 Tagen wird der Wert in Stunden erfasst; neben dem Feld erscheint die Einheit hours. Die Zeile Expected lifetime: about <n> days (bzw. hours) zeigt die Laufzeit vor der ersten Ausstellung; ist sie noch nicht bekannt, lautet die Zeile Lifetime is known after first issue. Sobald das Zertifikat ausgestellt ist, wird die Zeile ausgeblendet. Bietet das Directory des ACME-Providers ARI an, zeigt der Abschnitt Renewals bereits vor der ersten Bestellung Renewal timing is set by the CA (ARI)., und der Schieberegler heisst Fallback if ARI fails (before expiry). Nach der Ausstellung erscheint die Zeile Controlled by the CA (ARI): renewal between, gefolgt von Beginn und Ende dieses Fensters und, falls die CA eine liefert, einem Link zu ihrer Erklärung. Der Schieberegler heisst dann Fallback if ARI fails: TLSPilot erneuert innerhalb des Fensters der CA und verwendet den Wert des Schiebereglers, wenn ARI ausfällt. Das Maximum des Schiebereglers liegt knapp unter der Gültigkeit des aktuellen Zertifikats: einen Tag weniger bzw. eine Stunde weniger bei Zertifikaten, die kürzer als 10 Tage gültig sind. Empfohlen sind höchstens 30 Tage oder ein Drittel der Gültigkeit, siehe Kapitel Wann die Erneuerung läuft. Ein Beispiel mit dem Profil shortlived zeigt Kapitel ARI (ACME Renewal Information).

5. Deployments, Documentation und RBAC: Gehen Sie vor wie in Kapitel Private CA (PC) beschrieben.
6. Issue: Wählen Sie Issue now und klicken Sie auf Finish.

TLSPilot fordert das Zertifikat beim ACME-Provider an, erstellt den TXT-Eintrag und validiert die Domain. Das dauert in der Regel etwa eine Minute, da sich der DNS-Eintrag zuerst verbreiten muss und der ACME-Provider ihn danach von mehreren Standorten aus validiert, siehe Kapitel Multi-Perspective Validation. Die Statusleiste unten in der Desktop Admin Console zeigt den Fortschritt. Klicken Sie auf Close, sobald das Zertifikat ausgestellt ist.

DNS-01 Alias Mode einrichten

Mit DNS-01 Alias Mode schreibt TLSPilot die TXT-Einträge in eine Alias-Zone statt in die Produktivzone. Wie das funktioniert, beschreibt Kapitel DNS-01 Challenge Delegation (CNAME-Alias). Voraussetzung: eine eigene Alias-Zone bei einem von TLSPilot unterstützten DNS-Provider, zum Beispiel servicedomain.net, und ein DNS-Credential mit API-Zugriff auf diese Zone. Beschränken Sie das Credential auf die Alias-Zone, sofern der Provider das erlaubt.

Erstellen oder bearbeiten Sie das ACME-Zertifikat, öffnen Sie den Schritt Settings und wählen Sie den Challenge-Typ DNS-01. Dann unter DNS-01 settings:

1. Validation domain: Wählen Sie Validate with DNS-01 Alias Mode. Standard ist Validate on the real domain names.
2. Alias domain: Geben Sie die Alias-Zone ein, zum Beispiel servicedomain.net. Das Feld erscheint nur, wenn DNS-01 Alias Mode gewählt ist, und ist dann Pflicht; ist es leer, speichert TLSPilot nicht und zeigt Alias domain is required. Es ist zugleich die Zone beim DNS-Provider und wird nicht aus den Namen des Zertifikats abgeleitet.
3. DNS provider und DNS credential: Wählen Sie den DNS-Provider und das DNS-Credential der Alias-Zone. Sie gelten nur für die Alias-Zone.
4. CNAME-Einträge: Unter Alias domain zeigt TLSPilot Create these CNAME records before issuing: und eine Zeile pro Name des Zertifikats, gebildet aus dem Common Name und den SANs, in der Form _acme-challenge.<name> CNAME _acme-challenge.<name>.<alias domain>. Für ein Zertifikat mit dem einzigen Namen shop.example.com ist das _acme-challenge.shop.example.com CNAME _acme-challenge.shop.example.com.servicedomain.net; jeder weitere SAN ergibt eine eigene Zeile. Ein Wildcard-Name *.x zählt als x. Klicken Sie auf einen Eintrag, um ihn zu kopieren, und legen Sie die CNAME-Einträge beim DNS-Hoster der Produktivzone an oder lassen Sie sie vom zuständigen Team anlegen. Solange Alias domain leer ist, zeigt das Ziel einen Platzhalter, der sich nicht kopieren lässt. TLSPilot schreibt den TXT-Eintrag nur in die Alias-Zone.

5. Check CNAMEs: Sobald die CNAME-Einträge existieren, klicken Sie unter der Liste auf Check CNAMEs. TLSPilot zeigt das Ergebnis im Statusfenster Check CNAMEs mit einer Zeile pro CNAME-Eintrag: grün für einen korrekten Eintrag, rot für einen fehlenden oder falschen Eintrag und orange für could not check. Zu den Meldungen siehe Kapitel Fehlerbehebung: DNS-01.

6. Save: Speichern Sie das Zertifikat. Fehlt ein CNAME-Eintrag oder ist er falsch, zeigt TLSPilot das Ergebnis der Prüfung im Dialog DNS-01 Alias Mode. Das Zertifikat wird gespeichert, aber keine Bestellung startet, bis die Einträge stimmen.

Prüfung vor jeder Bestellung

Vor jeder Bestellung prüft TLSPilot jeden CNAME-Eintrag bei den öffentlichen Resolvern von Cloudflare und Google (DNS over HTTPS): Existiert der CNAME, zeigt er auf das erwartete Ziel, gibt es genau einen CNAME und keinen TXT-Eintrag unter demselben Namen? Schlägt eine Prüfung fehl, startet TLSPilot die Bestellung nicht und zeigt, welcher CNAME-Eintrag fehlt oder falsch ist. Antwortet keiner der Resolver, kann TLSPilot die Einträge nicht prüfen und protokolliert nur die Warnung CNAME _acme-challenge.<name> could not check. No DNS-over-HTTPS resolver answered. Die Bestellung startet trotzdem. Für eine zuverlässige Prüfung braucht der Management-Host ausgehendes HTTPS zu cloudflare-dns.com und dns.google. Nach dem Schreiben des TXT-Eintrags fragt TLSPilot den ursprünglichen Namen _acme-challenge.<name> ab, sodass die Resolver dem CNAME folgen und die ganze Kette geprüft wird. Einen Eintrag prüfen Sie selbst mit:

dig +short CNAME _acme-challenge.shop.example.com
dig @8.8.8.8 TXT _acme-challenge.shop.example.com

Fehler und Lösungen: Kapitel Fehlerbehebung: DNS-01.

ACME-Einstellungen

In den Einstellungen können Sie weitere ACME-Provider konfigurieren und aktivieren. Neben den integrierten Providern lässt sich jeder ACME-v2-konforme Provider als JSON-Definition importieren.

1. Klicken Sie unten rechts in der Desktop Admin Console auf Settings… und öffnen Sie den Tab ACME providers. Von oben nach unten zeigt der Tab die Schaltflächen Import…, Modify und Remove, die Liste der ACME-Provider als Karten in einer gerahmten Liste mit einem Schalter Enabled pro Provider, das Feld DNS-01 propagation wait (seconds, 15-300) und den Schalter Renew immediately on CA emergency.
2. Wählen Sie den Provider, zum Beispiel ZeroSSL, und klicken Sie auf Modify. Um einen nicht aufgeführten Provider hinzuzufügen, klicken Sie auf Import… und wählen seine JSON-Definition.

3. Modify ACME provider: Konfigurieren Sie den Provider:
   • Contact email: Erscheint nur bei Providern ohne EAB, also Let’s Encrypt, SwissSign und eigenen Providern ohne EAB. Das Feld ist optional und wird für diesen Provider gespeichert. Wenn Sie eine Adresse eingeben, registriert TLSPilot sie als Kontakt des ACME-Kontos; ist das Feld leer, wird das Konto ohne Kontakt registriert. Für Let’s Encrypt zeigt der Dialog Optional. Let’s Encrypt does not store contact addresses. Für die übrigen Provider mit diesem Feld zeigt er ACME account contact for CA notices. Separate from TLSPilot alerts. Provider mit EAB, zum Beispiel ZeroSSL, zeigen kein Kontaktfeld und registrieren das Konto ohne Kontakt; die Kontaktadresse wird in Ihrem Konto bei der CA verwaltet.
   • Production URL und Staging URL: Die Directory-URLs des Providers. Für die integrierten Provider füllt TLSPilot sie mit den URLs des Providers vor; Provider, die eine URL pro Kunde verwenden, beginnen mit einem leeren Feld – klären Sie die URL deshalb mit dem Provider. Provider ohne Staging-Umgebung zeigen ein einzelnes Feld Directory URL, SSL.com zeigt ECC directory URL und RSA directory URL. Jedes URL-Feld ist Pflicht, mit einem roten Sternchen markiert und muss eine absolute https://-URL enthalten. Die Felder sind bearbeitbar, und der Wert im Feld ist die URL, die TLSPilot für Ausstellung, Erneuerung und Widerruf verwendet; einen versteckten Standardwert gibt es nicht. Ist eine URL leer, ist der Provider unvollständig, und eine Ausstellung schlägt mit Directory URL is required. fehl.
   • Verify directory…: Prüft die URLs so, wie sie im Dialog eingegeben sind. Die gespeicherten Einstellungen des Providers bleiben unverändert, bis Sie auf Save klicken.
   • ACME environment: Bei Providern mit Staging-Umgebung wählt der Schalter Production (Standard) oder Staging, und TLSPilot verwendet die gespeicherte URL der gewählten Umgebung. Staging certificates are not trusted by browsers.
   • EAB credential: Wählen Sie das EAB-Credential, falls der Provider eines verlangt, zum Beispiel ZeroSSL, das EAB-Zugangsdaten kostenlos bereitstellt. Gibt es noch keines, klicken Sie auf Manage und erstellen ein Credential vom Typ ACME/EAB mit EAB Key ID und EAB HMAC Key.
   • Default key algorithm: Der Schlüsselalgorithmus, der für neue Zertifikate vorausgewählt ist, zum Beispiel RSA 3072. Aufgeführt werden nur die vom Provider unterstützten Algorithmen; Sie können den Algorithmus pro Zertifikat ändern.
   • Reset Account: Setzt das ACME-Konto für diesen Provider zurück. Verwenden Sie es nur, wenn etwas schiefgelaufen ist. Andernfalls arbeiten Sie mit dem bestehenden Konto weiter.

Integrierte Provider lassen sich nicht entfernen; Remove ist für sie ausgegraut. Schalten Sie stattdessen Enabled aus.

4. Klicken Sie auf Save, um den Dialog zu schliessen, und schalten Sie Enabled für den Provider ein.
5. DNS-01 propagation wait (seconds, 15-300): Passen Sie bei Bedarf an, wie lange TLSPilot auf die Verbreitung der DNS-Einträge wartet. Standard sind 60 Sekunden. Zulässig sind 15 bis 300 Sekunden; ein Wert ausserhalb dieses Bereichs wird beim Speichern auf 15 bzw. 300 gesetzt.
6. Renew immediately on CA emergency: Schalten Sie ihn ein, wenn ACME-Zertifikate sofort erneuert werden sollen, sobald die CA ihr Erneuerungsfenster vorzieht, zum Beispiel nach einem Massenwiderruf. Bei ausgeschaltetem Schalter wird dieses Fenster zu einem zufälligen Zeitpunkt erneuert und im nächsten Zyklus verteilt. Der Schalter ist standardmässig ausgeschaltet und gilt für alle Zertifikate mit Global setting; jedes Zertifikat kann ihn auch auf On oder Off setzen, siehe Kapitel ACME-Zertifikat (AC).
7. Klicken Sie auf Save, um die Einstellungen zu übernehmen.

Der Provider steht dann unter Source zur Verfügung, wenn Sie ein neues Zertifikat mit ACME erstellen. Je nach Provider lässt sich ACME auch für private Zertifikate verwenden.

TLSPilot enthält die folgenden ACME-Provider. Provider, die EAB verlangen, setzen ein Konto beim Provider voraus; für einen Provider lassen sich nur die hier aufgeführten Challenge-Typen und Optionen wählen.

Um einen ACME-v2-konformen Provider hinzuzufügen, der nicht in TLSPilot enthalten ist, erstellen Sie eine JSON-Definition dafür und importieren sie wie oben beschrieben mit Import…. Eine Vorlage liegt unter %ProgramData%\iTrain\TLSPilot\Examples\ACME Provider Template\acme-provider-template.json. Die Vorlage wird ohne Support bereitgestellt. Die Definition enthält ID und Anzeigenamen des Providers, die Directory-URL, optional eine separate Directory-URL für RSA-Schlüssel und eine Staging-Directory-URL, ob EAB verlangt wird, die unterstützten Schlüsselalgorithmen und Challenge-Typen sowie ob Wildcard-Zertifikate unterstützt werden.

Weitere Challenge-Typen

Neben DNS-01 lassen sich Domains auch mit HTTP-01 oder TLS-ALPN-01 validieren. Wählbar sind nur die Challenge-Typen, die der ACME-Provider unterstützt; von den in TLSPilot enthaltenen Providern unterstützt nur Let’s Encrypt TLS-ALPN-01. Bei anderen Providern ist der Schalter ausgegraut, mit dem Tooltip This challenge is not allowed for the selected ACME provider. Den Challenge-Typ eines bestehenden Zertifikats können Sie jederzeit ändern.

1. Doppelklicken Sie in der Liste auf das Zertifikat oder klicken Sie mit der rechten Maustaste darauf und wählen Sie Modify…
2. Settings: Wählen Sie unter Challenge type die Methode:
   • HTTP-01: Die CA ruft unter jedem Namen im Zertifikat eine Datei mit einem Validierungscode aus /.well-known/acme-challenge/ ab. Unter Publish mode wählen Sie, wo TLSPilot die Datei bereitstellt:
     • Listener on this management host (port 80): Die einfachste Variante. Leiten Sie Port 80 an den Management-Host weiter, zum Beispiel über einen Reverse Proxy mit WAF.
     • Local webroot on this management host: TLSPilot legt die Datei in einem Web-Root auf dem Management-Host ab. Wählen Sie den Zielpfad so, dass der Webserver die Datei für die Domain ausliefert.
     • Remote Windows web server (WinRM) oder Remote Linux web server (SSH): TLSPilot legt die Datei auf einem anderen Server ab. Geben Sie Target host, Web root path und das WinRM- bzw. SSH-Credential an.

• TLS-ALPN-01: Die CA verbindet sich immer mit Port 443; die Validierung muss deshalb vom Management-Host beantwortet werden. Geben Sie Listen address (Standard 0.0.0.0) und Port (Standard 443) ein. Alle Namen müssen öffentlich auf den Management-Host auflösen, und Wildcards sind nicht möglich. Da das Zertifikat meist auf einem anderen System verwendet wird, ist diese Methode oft nicht praktikabel.

3. Klicken Sie auf Save.

Manuelle DNS-Validierung

Ist Ihr DNS-Provider nicht in TLSPilot integriert und unterstützt er RFC 2136 nicht, können Sie die Domain manuell mit DNS-01 validieren. TLSPilot verschickt dann den nötigen TXT-Eintrag per E-Mail, und der Eintrag muss bei Ihrem DNS-Provider von Hand angelegt werden.

1. Öffnen Sie im Wizard New Certificate den Schritt Settings wie in Kapitel ACME-Zertifikat (AC) beschrieben, oder doppelklicken Sie auf ein bestehendes Zertifikat und öffnen Sie den Tab Settings.
2. Challenge type: Wählen Sie DNS-01.
3. DNS provider: Wählen Sie DNS Manual.
4. Mail channel und Recipient e-mail addresses: Wählen Sie den Mail-Kanal, über den TLSPilot den TXT-Eintrag verschickt, oder erstellen Sie einen mit Manage…, siehe Kapitel Alert-Kanäle konfigurieren. Der Mail-Kanal ist Pflicht; ohne Kanal oder Empfänger verschickt TLSPilot keine E-Mail und schreibt nur einen Logeintrag. Tragen Sie die Empfänger unter Recipient e-mail addresses ein und trennen Sie mehrere Adressen mit einem Semikolon. Unter Required TXT records listet der Schritt Zone und Namen jedes TXT-Eintrags auf. Ein Klick auf eine Zone oder einen Namen kopiert sie.
   • Also notify these users and groups: Suchen Sie nach Benutzern oder Gruppen (mindestens zwei Zeichen) und klicken Sie auf Add selected. TLSPilot löst sie zu ihren Postfächern auf und fügt sie den Empfängern hinzu.
   • Mail after a successful issue so the TXT records can be removed: Standardmässig eingeschaltet. Verschickt nach der Ausstellung die Bestätigungs-E-Mail.
   • Reminder (remaining lifetime): 5 bis 95 %, Standard 50 %. Remind when remaining lifetime is n% or less. Der Prozentsatz bezieht sich auf die Laufzeit der aktuellen ACME-Bestellung, vom Öffnen der Bestellung bis zu ihrem Ablauf bei der CA. Das gilt für eine Erstausstellung ebenso wie für eine Erneuerung im ARI-Fenster, im Fallback-Fenster oder ausserhalb des Zyklus. Fehlt der TXT-Eintrag zu diesem Zeitpunkt noch, verschickt TLSPilot eine Erinnerung, höchstens einmal pro Tag, siehe Abbildung Erinnerungs-E-Mail von DNS Manual mit den TXT-Einträgen.

5. Schliessen Sie die übrigen Schritte ab und stellen Sie das Zertifikat mit Issue now aus.
6. Der Empfänger erhält eine E-Mail mit dem orangen Kopf Action required. Sie nennt das Zertifikat und bittet darum, die TXT-Einträge zu veröffentlichen und bis zum Ablauf der Bestellung stehen zu lassen; die E-Mail nennt die von der CA gesetzte Ablaufzeit, bei Let’s Encrypt sieben Tage nach der Anfrage. Darunter zeigt der Block DNS TXT records einen Eintrag pro Zeile im Standard-Zonenformat, zum Beispiel _acme-challenge.app05.tlspilotlab.com TXT "uL0MeC8…", sowie Name, Typ und Wert jedes Eintrags als separate Felder, sodass Sie eine ganze Zeile oder einen einzelnen Wert kopieren können. Legen Sie den TXT-Eintrag bei Ihrem DNS-Provider an.

In der Zwischenzeit zeigt der Ausstellungsdialog den Status Waiting mit waiting for DNS TXT - next check HH:mm, siehe Abbildung Status Waiting während der manuellen DNS-Validierung. TLSPilot prüft den öffentlichen TXT-Eintrag einer wartenden Bestellung alle 15 Minuten, unabhängig vom täglichen Zyklus. In der Zertifikatsliste zeigt die Spalte Next action die Zeit der nächsten Prüfung in einer orangen Pill; ihr Tooltip lautet Waiting for DNS TXT - next check mit der Uhrzeit und dem Ablauf der Bestellung, siehe Abbildung Spalte Next action mit der nächsten Prüfung eines wartenden Zertifikats.

Solange die Bestellung wartet, zeigt der Tab Details des Zertifikats die Karte DNS TXT records, in der Desktop Admin Console und in der WebUI. Die erste Zeile zeigt Next reminder mit der Zeit der nächsten Erinnerung und order expires mit dem Ablauf der Bestellung. Darunter steht jeder Eintrag mit Name (dem FQDN des Eintrags), Type (TXT) und Value (dem Wert des Eintrags) untereinander; mehrere Einträge erscheinen als separate Gruppen. Ein Klick auf den Namen oder den Wert kopiert ihn in die Zwischenablage. TLSPilot bestätigt rechts neben dem Wert mit Copied, siehe Abbildung Karte DNS TXT records in den Details eines wartenden Zertifikats, Wert kopiert. Die E-Mails und der PDF-Bericht des Zertifikats (Download PDF) zeigen die Einträge als Tabelle mit den Spalten Name, Type und Value.

Fehlt der TXT-Eintrag noch, wenn die Restlaufzeit der Bestellung den unter Reminder (remaining lifetime) eingestellten Wert erreicht, verschickt TLSPilot eine Erinnerung mit dem orangen Kopf Action required und dem Titel DNS Manual: remaining lifetime is in the reminder window. Die Nachricht nennt den Schwellenwert und wie lange die TXT-Einträge stehen bleiben müssen, zum Beispiel Remaining lifetime is at or below 95%. Keep these DNS TXT records until 2026-10-24 09:06:40Z., und der Block DNS TXT records listet die Einträge im Zonenformat und als Tabelle mit Name, Type und Value, siehe Abbildung Erinnerungs-E-Mail von DNS Manual mit den TXT-Einträgen. TLSPilot prüft die Erinnerung bei der 15-minütigen Prüfung der wartenden Bestellung und verschickt höchstens eine Erinnerung pro Tag.

Sobald der TXT-Eintrag sichtbar ist, validiert der ACME-Provider die Domain, und TLSPilot stellt das Zertifikat aus, siehe Abbildung Ergebnis der Ausstellung, nachdem der TXT-Eintrag gefunden wurde. Danach verschickt TLSPilot eine weitere E-Mail mit dem orangen Kopf Action required, DNS Manual: certificate issued. You can remove the TXT records., die die Einträge auflistet; weitere Erinnerungen folgen nicht. Um die Prüfung selbst zu starten, klicken Sie in der Zertifikatsliste mit der rechten Maustaste auf das Zertifikat und wählen Issue certificate now… für eine Erstausstellung oder Force renew… für eine Erneuerung, siehe Abbildung Kontextmenü mit Issue certificate now….