1. Start
2. /
3. TLS/SSL & S/MIME
4. /
5. Domain Control Validation

Domain Control Validation

3 Min. Lesezeit

Bei der Bestellung und der Verlängerung eines TLS/SSL-Zertifikates wird immer überprüft, ob der Antragsteller des Zertifikats auch der Inhaber der Domain ist. Vor der Einführung der DSGVO wurde dies meist mit einem Abgleich der WHOIS-Daten gemacht. Da dies durch die DSGVO nun nicht mehr ohne weiteres bzw. gar nicht mehr möglich ist, haben die CAs nun drei neue Authentifizierungs-Methoden eingeführt.

Im SSL Manager kann man die Authentifizierungs-Methode während des Bestellprozesses im Formularabschnitt Authentifizierungs-Einstellungen auswählen.

Diese Methoden werden für die Authentifizierung angeboten.

• EMAIL
• DNS
• FILE

Email

• Die CA sendet eine Authentifizierungs-E-Mail an den Antragsteller. Dafür verwendet die CA eine der fünf Alias-E-Mail-Adressen, die bei der Bestellung im SSL Manager ausgewählt wurden. Zur Auswahl stehen:

Bitte beachten: Für die ausgewählte E-Mail-Adresse darf kein Greylisting aktiviert sein. Dies kann zu Problemen bei der Zustellung der Bestätigungs-E-Mail führen.

• admin@example.com
• administrator@example.com
• hostmaster@example.com
• postmaster@example.com
• webmaster@example.com

Handelt es sich um eine Zertifikatsbestellung für eine Subdomain innerhalb des Common Names, z.B. shop.example.com, stehen neben den Alias-E-Mail-Adressen identische Postfächer unterhalb der Subdomain zur Auswahl:

• admin@shop.example.com

• administrator@shop.example.com

• hostmaster@shop.example.com

• postmaster@shop.example.com

• webmaster@shop.example.com

• Die E-Mail, die die CA an die gewählte E-Mail-Adresse schickt, enthält einen Link, der zur Bestätigungsseite führt. Der Link muss angeklickt und die Daten bestätigt werden. 
  Damit ist die Authentifizierung abgeschlossen.

Bei Zertifikaten mit mehreren Domains (SANs) wird je FQDN eine E-Mail zur Bestätigung versendet. Die Domain Control Validation ist erst mit Bestätigung aller im Zertifikat angegebenen Domains abgeschlossen.

Die Auswahl der Alias-E-Mail-Adresse erfolgt stets nur für die Domain im Common Name. Mögliche zusätzliche Domains (SANs) erhalten automatisch den gleichen Alias.

Ein Neuversand der Authentifizierungs-E-Mail ist jederzeit über den SSL-Manager möglich:
Auftragsverwaltung → Auftragsverwaltung → Button Tools → Bestätigungs-E-Mail neu versenden

Für die Domain, die für den Versand der Zustimmungs-E-Mail verwendet wird, muss ein MX-Record gesetzt sein.

DNS

Bei dieser Authentifizierungsmethode muss in der Zone der Domain ein zusätzlicher DNS-Resource-Record angelegt werden. Die Werte des Eintrages werden im SSL Manager angezeigt, wenn die Authentifizierungsmethode DNS ausgewählt wurde. Nach dem Abschicken der Zertifikatsantrages fragt die CA die Zone der Domain im DNS auf diesen speziellen Eintrag hin ab. Ist der Eintrag vorhanden und korrekt, wird die Authentifizierung abgeschlossen.

Die aus dem SSL Manager ausgelesenen Werte müssen innerhalb von 24 Stunden im DNS eingetragen werden, da sie sonst verfallen und neu erzeugt werden müssen.

Wenn die Domain die Nameserver von InterNetX nutzt und der SSL Manager mit AutoDNS verbunden ist, kann unser System den zur Authentifizierung benötigten DNS-Eintrag automatisch in die DNS-Zone eintragen.

Die Verknüpfung von AutoDNS und SSL Manager Account lässt sich in der bisherigen SSL Manager Oberfläche via “Benutzereinstellungen” durchführen.

Bei Zertifikaten mit mehreren Domains (SANs) muss je FQDN der im SSL Manager angezeigte DNS-Resource-Record in der jeweiligen Zone hinterlegt werden. Die Domain Control Validation ist erst mit der Authentifizierung aller im Zertifikat angegebenen Domains abgeschlossen.

Beispiel DigiCert:

_dnsauth.example.com

300 IN TXT "2020022813545049ntlwc1jhic911eicvqn0fk6q2zv4huzexz8si5p4jrj7jtst"

Beispiel Comodo: 
_9d0c17f937737a7ad33cac6696c6287b.example.com

300 IN CNAME 98ece627031af27a45fa3551cc060a57.da0f1240b6e3744e87b2182b56d98aeb.3p1e6w2n.comodoca.com.

Die Prüfung des DNS-Resource-Records durch die CA erfolgt intervallmäßig und mehrmals innerhalb 24 Stunden nach Auftragsstart. Um die Authentifizierung möglichst zügig abzuschließen empfehlen wir, den Zoneneintrag bestenfalls direkt mit dem Absetzen des Zertifikatsauftrags zu hinterlegen. Bei Nutzung unserer SSL-API hilft unsere Echtzeitausstellung.

FILE

Bei dieser Authentifizierungsmethode wird auf dem Webserver im Verzeichnis der Domain eine Datei gespeichert, mit der die CA die Inhaberschaft einer Domain prüft. 

• Ein Zertifikat bestellen.
• Nachdem der Auftrag von der CA angenommen wurde, muss in der Auftragsverwaltung der entsprechenden Auftrag ausgewählt werden.
• Schaltfläche Info klicken, um die Auftragsdetails zu starten. 
  Im Registerblatt Status finden sich unter dem Punkt Authentifizierung die Informationen zu Name, Pfad und Inhalt der benötigten Datei.
• Mit diesen Werten auf dem Webserver im Verzeichnis der Domain eine Datei erstellen.
• Die Datei anschließend im Browser aufrufen, um zu prüfen, ob alles korrekt erstellt wurde.
• Die CA prüft nun mehrfach, ob die Datei korrekt gesetzt wurde.
  Die Authentifizierung ist mit erfolgreicher Prüfung der Datei abgeschlossen. Die Datei kann anschließend wieder gelöscht werden.

Der Eintrag darf ausschließlich für die Domain angelegt werden, die in den Auftragsdetails angezeigt wird. 

Bitte beachten, dass serverseitig keine automatische URL-Weiterleitung auf die www-Subdomain für den angezeigten Pfad erfolgen darf.

Beispiel DigiCert:

example.com/.well-known/pki-validation/fileauth.txt

FILENAME:
/.well-known/pki-validation/fileauth.txt
FILE CONTENT:

2018112007555401i23owspz4su5ry9q31j6rlhw89e4wwd2tz8jt9a0rpl36u1n

Beispiel Sectigo: 

example.com/.well-known/pki-validation/fileauth.txt

FILENAME:
/.well‐known/pki‐validation/7B01CAC706906D6B85AB18XE73307BAB.txt
FILE CONTENT:
be7c69cc03k36c69fd5e4f91256327487500bd4a507f14ab765d7fa2c8e1ebc7
comodoca.com

Bitte beachten, dass bei Sectigo der Dateiname immer dynamisch generiert wird und daher jedes Mal neu angelegt werden muss. Die Datei muss über “http://” aufrufbar sein.

Bitte darauf achten, dass keine Weiterleitung aktiv ist und die Datei unterhalb der von der CA genannten URL abrufbar ist.