Ogni certificato richiede che la Certification Authority verifichi che controlli i domini che contiene (la validazione del dominio). Con ACME cambia chi la fa e quando, non il principio.
Cosa succede quando il client chiede un certificato
La Certification Authority controlla, per ogni dominio, se c'è già una verifica valida:
- se c'è, il dominio non richiede altro;
- se non c'è, propone al client una prova automatica (vedi sotto). Il client la completa in pochi secondi, se è configurato per farlo; altrimenti la richiesta fallisce con un errore.
Il client non resta in attesa: una verifica che richiede una persona, come un'email da confermare, non può avvenire durante la richiesta. Va fatta prima, o sostituita da una prova automatica.
Quanto dura una verifica
Una verifica non va ripetuta a ogni certificato: la Certification Authority può riusarla per un periodo, che le regole del CA/Browser Forum stanno riducendo:
| Verifiche fatte dal | Riusabili per |
|---|---|
| 15 marzo 2026 | 200 giorni |
| 15 marzo 2027 | 100 giorni |
| 15 marzo 2029 | 10 giorni |
Finché la verifica è valida, il client ottiene nuovi certificati senza altri passaggi. Quando scade, va ripetuta, a mano o dal client.
Verifica fatta prima
Una verifica fatta in anticipo, ad esempio all'attivazione, via email, DNS o file come per un ordine normale, può coprire le richieste successive finché resta valida. Se e come sarà possibile con il nostro servizio lo confermeremo all'avvio.
Anche dove è possibile, è una soluzione di partenza: con verifiche riusabili 100 giorni dal 2027 e 10 giorni dal 2029, ripeterle a mano diventa impraticabile. Il rinnovo senza interventi richiede che la verifica la faccia il client.
Verifica automatica, dal client
Il protocollo ACME prevede delle prove (challenge) che il client completa da solo, quando chiede il certificato.
HTTP-01: un file sul sito
Il client pubblica un file temporaneo su
http://tuodominio.it/.well-known/acme-challenge/ e la Certification Authority lo
legge.
- Serve: che il dominio punti al server dove gira il client, o a uno che gli inoltra quel percorso, e che la porta 80 sia raggiungibile da Internet. Il redirect da HTTP a HTTPS non è un problema.
- Non vale per i certificati wildcard, né per server non raggiungibili da Internet.
- Attenzione con più server dietro un bilanciatore: la richiesta della Certification Authority può arrivare a un server diverso da quello del client.
È la scelta più semplice per un sito su un solo server: con Certbot, win-acme o Caddy funziona senza configurazioni particolari.
DNS-01: un record DNS
Il client crea un record TXT su _acme-challenge.tuodominio.it, la Certification
Authority lo legge, poi il client lo rimuove.
- Serve: che il client possa modificare il DNS del dominio, tramite le API del provider DNS. I client principali supportano decine di provider; la chiave di accesso alle API va custodita con cura, e se possibile limitata alla sola zona del dominio.
- Vale anche per i wildcard, per server interni e per più server dietro un bilanciatore: il server web non è coinvolto.
- Non tutti i provider DNS offrono API, o le offrono con permessi abbastanza ristretti.
DNS-01 con delega: un CNAME
Se il provider DNS del dominio non ha API, o non vuoi dare al client accesso all'intera
zona, puoi delegare la sola verifica: un record CNAME fisso, creato una volta,
punta _acme-challenge.tuodominio.it verso una zona che il client può modificare.
_acme-challenge.tuodominio.it. CNAME _acme-challenge.verifiche.altrodominio.it.
Il client scrive il record TXT nella zona delegata, la Certification Authority segue il
CNAME e lo trova. Il DNS principale non viene più toccato.
TLS-ALPN-01: sulla porta 443
Una prova fatta direttamente nella connessione TLS sulla porta 443. La usano soprattutto server e proxy che gestiscono TLS da sé, come Caddy o Traefik; per gli altri casi è meglio HTTP-01.
Come scegliere
| Situazione | Metodo |
|---|---|
| Un sito su un server raggiungibile da Internet | HTTP-01 |
| Certificato wildcard | DNS-01 |
| Più server o un bilanciatore | DNS-01 |
| Server interno, non raggiungibile da Internet | DNS-01 |
| DNS senza API, o gestito da terzi | DNS-01 con delega via CNAME |
| Nessuna delle precedenti è possibile | Scrivici: valutiamo insieme |
Un certificato con più domini può usare metodi diversi per ciascuno. Se non sai quale fa al caso tuo, scrivici: lo vediamo insieme.