ACME (Automatic Certificate Management Environment) ist ein in RFC 8555 definiertes Protokoll, das den gesamten Lebenszyklus der SSL/TLS-Zertifikatverwaltung automatisiert – von der Domänenvalidierung und Zertifikatausgabe bis zur Erneuerung und Sperrung. Es ersetzt manuelle Zertifikatanfrageworkflows, indem es Clients und Servern ermöglicht, direkt mit einer Zertifizierungsstelle zu kommunizieren, um vertrauenswürdige SSL-Zertifikate zu erhalten.
Das Protokoll funktioniert, indem ein Client die Kontrolle über eine Domäne durch eine Challenge nachweist (typischerweise HTTP-01, DNS-01 oder TLS-ALPN-01) und dann ein signiertes Zertifikat anfordert. Die gesamte Kommunikation erfolgt über HTTPS mit JSON-Nachrichten, die als JWS (JSON Web Signature) signiert sind. Nach der Validierung erhält der Client das Zertifikat und kann es automatisch vor Ablauf erneuern. Große CAs wie Let's Encrypt nutzen ACME zur Ausstellung von Zertifikaten in großem Maßstab.
Wie Challenges funktionieren:
| Challenge | Methode | Anwendungsfall |
|---|---|---|
| HTTP-01 | Datei via HTTP auf Port 80 bereitstellen | Webserver mit öffentlichem HTTP-Zugriff |
| DNS-01 | DNS-TXT-Eintrag erstellen | Wildcard-Zertifikate, interne Dienste, CDNs |
| TLS-ALPN-01 | Auf TLS-Erweiterung auf Port 443 antworten | Server ohne HTTP, ohne DNS-Zugriff |
ACME ermöglicht heute die meisten kostenlosen und kommerziellen HTTPS-Bereitstellungen. Ein typischer Client (wie Certbot) läuft auf Ihrem Server, kommuniziert über ACME mit der CA, beweist die Domäneninhabe, ruft das Zertifikat ab und plant die automatische Erneuerung – alles ohne manuelle Eingriffe.
TipDie meisten Zertifizierungsstellen, die ACME unterstützen, unterstützen auch CAA-Einträge, die Sie konfigurieren sollten, um zu beschränken, welche CAs Zertifikate für Ihre Domäne ausstellen können.
Verwenden Sie /tools/ssl-check, um zu überprüfen, ob Ihr Zertifikat gültig ist und ordnungsgemäß erneuert wird.