Summary

  • دخل الإصدار الصادر في 27 أكتوبر من مسودة dns-account-01 مرحلة المراجعة النهائية لدى IESG حتى 10 نوفمبر. تمنح المسودة كل حساب ACME اسم تحقق منفصلاً كي يستطيع نظامان مستقلان تفويض النطاق نفسه إلى وجهتي CNAME مختلفتين.
  • يُشتق الاسم من أول عشرة بايتات من SHA-256 لعنوان URL الخاص بالحساب، ثم يُرمز بصيغة Base32. تغيير مفتاح الحساب يبقي الاسم؛ تغيير عنوان الحساب عند نقل الخادم قد يعطل سجلات DNS المجهزة مسبقاً.

تقع المشكلة عند اسم _acme-challenge الذي تستخدمه طريقة dns-01 في RFC 8555. يمكن وضع أكثر من قيمة TXT عند الاسم نفسه. لكن إذا أراد فريقان مستقلان تفويض ذلك الاسم بسجل CNAME إلى نظامي تحقق مختلفين، فلا توجد سوى وجهة CNAME واحدة لذلك الاسم. استقلال مراكز التشغيل يتوقف عند باب التحقق.

تضيف مسودة IETF تسمية مشتقة من عنوان حساب ACME الكامل قبل _acme-challenge. تحسب SHA-256، وتأخذ عشرة بايتات، ثم تحولها إلى Base32. المثال الوارد فيها هو _ujmmovf2vn55tgye._acme-challenge.example.org. يحصل كل حساب على اسم يمكن تفويضه وحده. يتبع خادم ACME سجل CNAME إلى TXT ويفحص بصمة تفويض المفتاح المرتبطة برمز التحدي.

تحدد الفقرة 3.5 تكلفة هذا الفصل. يدخل البروتوكول واسم المضيف والمنفذ والمسار كلها في عنوان الحساب الذي ينتج الاسم. تدوير المفتاح لا يبدل التسمية. أما نقل خدمة ACME مع تغيير عنوان الحساب فقد يستدعي إعادة تجهيز أسماء التحقق؛ وتطلب المسودة من الخادم الحفاظ على المعرفات القديمة وقبول عناوين kid السابقة حيث يلزم. يضع السجل الرسمي للمسودة الإصدار 04 في المراجعة النهائية المنتهية في 10 نوفمبر، مع هدف الوصول إلى معيار مقترح.

لا يتضمن السجل بعد قائمة بالخوادم والعملاء الذين نفذوا التحدي، أو مثالاً منشوراً على حفظ عناوين الحسابات خلال نقل خدمة فعلي.