Кратко

  • IETF открыл заключительное обсуждение проекта dns-account-01 до 10 ноября: для каждой учётной записи ACME предлагается собственное DNS-имя проверки.
  • Старый и новый облачные контуры смогут получать сертификаты для одного домена одновременно, не деля единственный CNAME под _acme-challenge.

При переезде сервиса старую площадку часто оставляют работать, пока новая набирает нагрузку. Сертификаты нужны обеим. В действующем ACME, RFC 8555, проверка dns-01 обращается к _acme-challenge. Если двум независимым командам требуется передать это имя своим службам через CNAME, DNS предлагает одно место. Получается странная очередь: резервные системы готовы, а дверной звонок у них общий.

Проект рабочей группы ACME добавляет имя, вычисляемое из URL учётной записи. Оно ставится перед _acme-challenge, так что каждый аккаунт получает отдельный адрес ответа. Сервер берёт идентификатор аккаунта из подписанного запроса, вычисляет нужное имя и ищет там TXT с результатом текущего вызова. Несколько команд могут заранее настроить свою часть DNS и не переписывать чужую при каждом продлении.

Алгоритм короток и строг: SHA-256 полного URL аккаунта, первые десять байтов, кодирование Base32. Имя привязано к URL, поэтому обычная замена ключа аккаунта не требует переделывать DNS-адрес. Значение TXT зависит от свежего токена вызова и ключа аккаунта. Постоянным остаётся место встречи, а не ответ на проверку.

Эта деталь меняет хозяйство домена. Отдельные пути можно дать двум регионам, двум CDN или поставщику, который временно помогает с миграцией. Каждый путь должен иметь владельца и срок действия. Сотрудник может закрыть задачу «переезд завершён», но старое делегирование продолжит отвечать на запросы, пока его действительно не уберут из зоны. Договоры и DNS живут по разным календарям.

Проект отдельно рассматривает перемену URL учётной записи у самого сервера ACME. Новый хост, путь, схема или порт меняют вычисляемую метку и ломают заранее подготовленные имена. Авторы советуют сохранять идентификаторы стабильными, а при необходимом переезде принимать прежние URL. После проверки клиентам рекомендуется удалять TXT-ответы.

Карточка Datatracker фиксирует редакцию -04 от 27 октября и конец Last Call 10 ноября. В проекте предусмотрено будущее включение dns-account-01 в реестр методов ACME у IANA. Дополнительные звонки пока согласуют на бумаге.