FairSSL ACME og portalen

dns-persist: én DNS-record, og alle navne er godkendt på forhånd

Virker i dag med alle ACME-klienter, også certbot, som endnu ikke understøtter dns-persist-01. Du skal ikke vente på standarden eller din klient.

Du opretter én TXT-record på dit domæne én gang. Derefter er domænet og alle navne under det godkendt på forhånd, og DigiCert-certifikater udstedes med det samme, både i FairSSL-portalen og via FairSSL ACME.

Hvad dns-persist er

dns-persist er en valideringsmetode fra CA/Browser Forum, afsnit 3.2.2.4.22 i Baseline Requirements. I stedet for et nyt token ved hver bestilling ligger der én permanent TXT-record, som godkender din certifikatkonto til domænet. DigiCert læser recorden, når der bestilles, så der er intet at oprette pr. bestilling og intet ved fornyelse.

Valideringen sker mellem FairSSL og DigiCert over DigiCerts API. Din ACME-klient får ingen valideringsopgave: når den bestiller, er domænet allerede godkendt. Derfor virker det med alle ACME-klienter: certbot, win-acme, cert-manager, acme.sh og appliances, uden DNS-plugin og uden at klienten understøtter dns-persist-01.

IETF-udkastet til dns-persist-01 i ACME er i version -02 fra 20-09-2026. Det ændrer intet for dig, fordi valideringen her ikke kører som en ACME-challenge.

Recorden

Du opretter selv recorden på dit domæne:

_validation-persist.ditdomæne.dk.  IN  TXT  "digicert.com; accounturi=<din konto-URI>; policy=wildcard"

Din egen værdi står i portalen. Vi opretter ikke recorden for dig, for den er dit bevis på, at du råder over domænet.
policy=wildcard betyder, at recorden også dækker underdomæner og wildcard-certifikater.
Recorden skal blive liggende. Slettes den, falder bestillinger tilbage til validering pr. bestilling med _dnsauth og AutoDNS.

Sådan virker AutoDNS →

Hvilke certifikater

dns-persist gælder DigiCert-certifikaterne hos FairSSL: RapidSSL, GeoTrust, Thawte og DigiCert, som DV, OV og EV.

Kræver din egen DigiCert-konto

Recorden godkender en hel certifikatkonto. Derfor kræver dns-persist, at du har din egen DigiCert-konto hos FairSSL. Kontakt os for at få den aktiveret.

På FairSSL's fælles DigiCert-konto bruger du AutoDNS, som validerer hver bestilling automatisk. Det gælder også OV og EV med din egen organisation.

Kontakt os Log ind i portalen

dns-persist-01 hos andre CA'er

Hos de andre CA'er er dns-persist-01 en ACME-challenge, så både CA'en og din ACME-klient skal understøtte den.

CA	Status
Google Trust Services	✓ Ja ↗
Let's Encrypt	Ikke endnu, planlagt (venter på den nye version af standarden)
GlobalSign	Planlagt i 2027
ZeroSSL	✗ Understøtter det ikke
Sectigo ACME	✗ Understøtter det ikke

Certifikater på mange servere og appliances

Et offentligt SSL-certifikat kan højst være gyldigt i 199 dage nu, 99 dage senest 15-03-2027 og 46 dage senest 15-03-2029. Hvert certifikat skal dermed skiftes mindst to gange om året nu og mindst otte gange om året fra 2029, på hver server, firewall og load balancer, det bruges på. sslbrain fra FairSSL kører som en appliance i jeres eget netværk og fornyer og installerer certifikaterne fra ét sted, også på udstyr uden agent.

dns-persist-01 i sslbrain: uden DNS-nøgler på serverne

Klar til at oprette en gratis konto?

Opret en gratis konto og bestil dit første certifikat. Et DV-certifikat udstedes på under 2 minutter.

Opret gratis konto Sammenlign certifikater