Summary

  • Версия проекта dns-account-01 от 27 октября проходит заключительное обсуждение IESG до 10 ноября. Она выделяет каждой учётной записи ACME собственное DNS-имя проверки, чтобы независимые системы могли делегировать один домен через разные CNAME.
  • Имя строится из первых десяти байтов SHA-256 полного URL учётной записи в кодировке Base32. Смена ключа его сохраняет, а изменение URL при переезде сервера способно вывести из строя заранее созданные записи.

Общий вход — _acme-challenge из действующего dns-01 в RFC 8555. В одной точке можно разместить несколько TXT-значений. Конфликт возникает, когда две команды хотят направить проверку CNAME на разные собственные системы: одному имени DNS соответствует только одна цель CNAME. Разделённая инфраструктура снова сходится в одном пункте выдачи доказательства.

Проект IETF добавляет перед _acme-challenge метку, вычисленную из URL учётной записи. Алгоритм берёт SHA-256, отсекает первые десять байтов и кодирует их как Base32. Пример в документе: _ujmmovf2vn55tgye._acme-challenge.example.org. У разных учётных записей появляются разные имена, а значит, и отдельные направления CNAME. Сервер проходит по ним к TXT и сверяет значение с хешем ключевой авторизации для конкретного задания.

Раздел 3.5 превращает адрес сервиса в эксплуатационную зависимость. Схема, хост, порт и полный путь URL входят в расчёт. Ротация ключа не меняет метку. Переезд сервера с новым URL учётной записи может потребовать перенастройки всех приготовленных имён; авторам важно, чтобы сервер сохранял идентификаторы и продолжал принимать прежние URL kid при вынужденном изменении. Карточка IETF показывает версию 04 на стадии Last Call с целью Proposed Standard.

Публичного перечня реализовавших механизм серверов и клиентов, как и отчёта о миграции с сохранением URL, пока нет.