گواهی برای سایتی فقط از طریق VPN: DNS-01 یا CA خصوصی؟
سایتی که فقط از طریق VPN در دسترس است می‌تواند گواهی عمومی معتبر را از طریق DNS-01 بگیرد، یا گواهی داخلی از یک CA خصوصی. انتخاب به نام و به کارخواه‌ها بستگی دارد.
سه شرط تعیین می‌کند که یک سایت فقط از طریق VPN چگونه باید گواهی خود را بگیرد: آیا بر یک ناحیه DNS عمومی کنترل دارید، آیا نام میزبان می‌تواند در گزارش‌های عمومی ظاهر شود، و آیا می‌توان به هر کارخواه یک لنگر اعتماد خصوصی داد. مسیر عمومی و مسیر خصوصی هر دو قفلی کارا تولید می‌کنند و به پرسش‌های متفاوتی پاسخ می‌دهند. انتخاب یکی بدون روشن کردن این شرایط همان راهی است که سایت با گواهی عمومی‌ای که نمی‌خواست، یا با گواهی داخلی که نیمی از کارخواه‌ها آن را رد می‌کنند روبه‌رو می‌شود.
گواهی نام را اثبات می‌کند؛ VPN و DNS داخلی مسیر را فراهم می‌کنند.
دو مسیر به یک نام قابل اعتماد
یک صادرکننده عمومی با اعتبارسنجی DNS-01 کنترل یک نام را از طریق رکورد TXT در ناحیه‌ای که کنترل می‌کنید اثبات می‌کند، بنابراین سرویس وب هرگز مجبور نیست اتصال HTTP عمومی بپذیرد. یک CA خصوصی گواهی‌های برگ برای نام‌های داخلی صادر می‌کند و لنگر اعتماد خود را از طریق مدیریت دستگاه توزیع می‌کند، بنابراین هیچ گزارش عمومی از نام باخبر نمی‌شود. هر دو مشروع‌اند و انتخاب از آن سه شرط برمی‌آید، نه از راحتی. هیچ‌یک از این دو مسیر، مسیر یا ورودی حل‌کننده‌ای را که کارخواه لازم دارد فراهم نمی‌کند.
گواهی عمومی نام میزبان را در گزارش‌های شفافیت گواهی نیز منتشر می‌کند. اگر خود نام حساس است، آن افشا یک تصمیم طراحی است، نه عارضه‌ای جانبی که بعداً کشف شود.
DNS-01 بدون آشکار کردن سرویس
رکورد چالش یک ورودی TXT زیر پیشوندی رزروشده در ناحیه است و صادرکننده آن را از DNS معتبر می‌خواند. کارخواه ACME و یکپارچه‌سازی DNS را برگزینید که بتوانند آن رکورد را بسازند و حذف کنند، و به‌روزرسانی را به‌صورت باریک مجاز کنید: یک اعتبارنامه API محدود برای ناحیه، یا میزبان کنترل‌شده‌ای که فقط برای اعتبارسنجی به کار می‌رود. دادن اعتبارنامه ثبت‌کننده بدون محدودیت به سرور برنامه برای تمدید یک گواهی، بسیار بیشتر از اختیاری است که کار به آن نیاز دارد. وقتی چند سفارش یک نام را به اشتراک می‌گذارند، مقادیر TXT آن‌ها را جدا نگه دارید تا پاک کردن یکی، مقداری را که دیگری هنوز لازم دارد حذف نکند.
برای انتشار با بررسی در برابر سرورهای معتبر منتظر بمانید، نه با یک توقف ثابت. رفتار انتشار به ارائه‌دهنده بستگی دارد و توقفی که امروز کار می‌کند شاهدی درباره فردا نیست.
کارخواه‌های مدیریت‌شده و نام‌های آگاهانه خصوصی
دستگاه‌های مدیریت‌شده و نام‌های آگاهانه خصوصی به خوبی با یک CA داخلی سازگارند. صادرکننده قابل اعتماد را از طریق مدیریت دستگاه توزیع کنید، سپس برای نام‌های مورد نظر گواهی برگ صادر کنید. بررسی کنید هر کارخواه در واقع از کدام مخزن استفاده می‌کند، زیرا یک واردسازی در سیستم‌عامل ادعای جهان‌شمولی درباره هر مرورگر و برنامه نیست. سنجاق کردن برگ گزینه دیگری است در جایی که صریحاً پشتیبانی می‌شود، به بهای یک به‌روزرسانی دیگر اعتماد هر بار که برگ تغییر می‌کند.
کانال توزیع به اندازه کلید اهمیت دارد: ریشه‌ای که هیچ‌کس نصبش نمی‌کند چیزی را محافظت نمی‌کند.
تمدید بخشی از طراحی است
هر مسیری که برگزینید، تمدید به یک مالک و یک رویه نیاز دارد. تازه‌سازی اثبات اعتبارسنجی، نصب مواد جدید و بازخوانی شنونده از طریق سازوکار پشتیبانی‌شده‌اش سه گام جداگانه‌اند و فقط گام اول را بیشتر کارخواه‌های ACME خودکار می‌کنند. گواهی‌ای که درست تمدید می‌شود اما هرگز بارگذاری نمی‌شود همان قطعی را ایجاد می‌کند که گواهی منقضی.
گواهی مسیر VPN را نصب نمی‌کند و رکورد DNS داخلی را نمی‌سازد. کارخواه‌ها همچنان به حل‌کننده‌ای نیاز دارند که نام را به نشانی خصوصی نگاشت کند و به مسیری برای رسیدن به آن. سایت را با نام از کارخواهی آزمایش کنید که هر دو را دارد.
صادرکننده، روش اعتبارسنجی، کانال توزیع اعتماد و سازوکار بازخوانی را ثبت کنید. آن چهار مورد همان برنامه تمدید است.