Summary

  • A revisão de 27 de outubro do dns-account-01 está em última chamada do IESG até 10 de novembro. Ela cria um nome de validação DNS para cada conta ACME, permitindo que sistemas independentes deleguem o mesmo domínio por CNAME diferentes.
  • O nome usa os primeiros dez bytes do SHA-256 da URL da conta, codificados em Base32. A troca da chave preserva o endereço; a mudança da URL durante uma migração pode inutilizar registros DNS prontos.

A colisão mora em _acme-challenge. O dns-01 da RFC 8555 comporta vários valores TXT no mesmo nome. A dificuldade surge quando duas equipes precisam apontar esse nome por CNAME para solucionadores diferentes: há um único destino CNAME para aquele proprietário DNS. A infraestrutura parece distribuída, mas a prova de controle continua concentrada em uma delegação.

O texto do IETF inclui um rótulo calculado a partir da URL da conta ACME antes de _acme-challenge. Ele aplica SHA-256, usa os dez primeiros bytes e os codifica em Base32. O exemplo é _ujmmovf2vn55tgye._acme-challenge.example.org. Contas distintas recebem nomes distintos; cada uma pode delegar seu caminho ao próprio sistema. O servidor segue o CNAME até o TXT e confere o resumo da autorização de chave correspondente ao desafio.

Há uma dependência escondida na seção 3.5: esquema, host, porta e caminho da URL entram no cálculo. Trocar a chave da conta não altera o rótulo. Mudar a URL numa transferência de serviço pode exigir refazer todos os nomes previamente configurados. A proposta recomenda preservar identificadores e aceitar URLs kid antigas quando uma mudança for inevitável. O registro oficial mostra a revisão 04 em última chamada até 10 de novembro, com status pretendido de Proposed Standard.

Ainda faltam uma lista de implementações e evidência pública de como os provedores preservarão URLs de conta em uma migração real.