Resumo

  • A versão -04 de dns-account-01 entrou na consulta final do IETF, que vai até 10 de novembro.
  • A proposta separa os nomes de validação DNS de contas ACME diferentes que precisam emitir certificados para o mesmo domínio.

Durante uma troca de provedor, desligar a infraestrutura antiga antes da hora é pedir para o site sair do ar. O resultado é uma convivência provisória: velha nuvem e nova nuvem precisam renovar certificados para o mesmo domínio. No ACME de RFC 8555, o desafio dns-01 usa _acme-challenge. Se cada ambiente quiser delegar esse nome por CNAME ao próprio serviço de validação, haverá disputa por um único espaço. O DNS não inventa uma segunda campainha para salvar o cronograma de migração.

O rascunho do grupo ACME acrescenta uma etiqueta derivada da URL da conta antes de _acme-challenge. Assim, cada conta tem um nome próprio para publicar o TXT do desafio. O servidor extrai a identidade da conta do pedido assinado, calcula o nome esperado e confere o resumo do desafio naquele lugar. Regiões, CDNs e ambientes em transição conseguem responder sem trocar o registro do vizinho.

Há precisão no detalhe: a URL completa passa por SHA-256; os primeiros dez bytes viram Base32. A etiqueta acompanha a URL, não a chave da conta. Uma rotação normal da chave pode preservar o nome preparado no DNS. O valor do TXT continua dependente de um token novo e da chave da conta. A caixa de correio fica; a carta muda a cada pedido.

Para quem governa o domínio, o ganho técnico traz uma conta a pagar em organização. Cada nome delegado representa uma equipe ou fornecedor com capacidade de responder à validação. Quem aprovou a conta do ambiente de contingência? O parceiro que saiu no mês passado ainda tem um caminho? Sem um registro de responsáveis e datas de retirada, a empresa termina a migração no diagrama e a mantém aberta no DNS.

Também existe uma dependência pouco vistosa: a própria URL da conta. Mudanças de host, caminho, esquema ou porta no servidor ACME podem alterar a etiqueta calculada e inutilizar nomes já preparados. O texto recomenda estabilidade do identificador e aceitação de URLs antigas quando houver migração. Recomenda ainda retirar os TXT depois da conclusão do desafio.

O Datatracker registra a versão -04 em 27 de outubro e o fim da consulta em 10 de novembro. A proposta pede que dns-account-01 entre no registro de métodos ACME da IANA quando avançar. Por ora, a campainha extra está na planta da obra.