Bisheriger Stand
Aktuell musst du deine eigenen TLS-Zertifikate manuell bereitstellen (z. B. Zertifikat/Key in einer nginx.conf). Das bedeutet:
manuellen Aufwand bei Erstinstallation und Verlängerung
Fehleranfälligkeit (falsche Pfade, vergessene Verlängerungen, abgelaufene Zertifikate)
zusätzliche interne Prozesse (z. B. PKI-Team, Tickets)
Neuer Ansatz: DNS-01 + CNAME-Delegation
Statt Zertifikate manuell zu verwalten, verwenden wir künftig Let’s Encrypt mit dem DNS-01-Verfahren in Kombination mit CNAME-Delegation:
Du wählst weiterhin eine eigene Subdomain, z. B.
voize-gateway.customer-a.de.In deiner öffentlichen DNS-Zone legst du einmalig einen CNAME-Eintrag an, z. B.:
_acme-challenge.voize-gateway.customer-a.de. CNAME customer-a.acme.voize.de.
Über diesen CNAME erlaubst du uns ausschließlich, DNS-Challenges für diese eine Subdomain zu beantworten und damit automatisch Zertifikate für
voize-gateway.customer-a.deauszustellen und zu erneuern.
Technisch basiert das auf dem standardisierten ACME-Protokoll, das von Let’s Encrypt und vielen anderen CAs unterstützt wird und bereits weit im Enterprise-Umfeld verbreitet ist.
Vorteile für dich
Kein manuelles Zertifikats-Handling mehr
Keine manuellen Importe in
nginx.conf.Keine Erinnerungen oder Tickets mehr für Zertifikatsverlängerungen.
Automatische, kontinuierliche Erneuerung
Zertifikate werden automatisch rechtzeitig erneuert.
Risiko abgelaufener Zertifikate wird drastisch reduziert.
Sicherheit & Kontrolle bleiben bei dir
Du behältst die Kontrolle über deine Domain.
Wir erhalten keinen Zugriff auf deine DNS-Zone, sondern nur eine kontrollierte Delegation für eine konkrete Subdomain via CNAME.
Andere Systeme bleiben vollständig unberührt.
Etablierte, sichere Technologie
ACME/DNS-01 ist ein Standardverfahren, das auch im Kubernetes- und Cloud-Umfeld weit verbreitet ist.
Die Automatisierung ist stabil, auditiert und zuverlässig.
Weniger Betriebsaufwand, weniger Fehlerquellen
Weniger manuelle Konfiguration auf Servern.
Geringeres Risiko von Konfigurationsfehlern (Ketten, Zwischenzertifikate etc.).
Der Gateway kann als nahezu „Hands-off“-Appliance betrieben werden.
Was bedeutet das konkret für dich?
Voraussetzung:
Die DNS-Zone für deine gewählte Gateway-Subdomain ist öffentlich erreichbar.
Du kannst einen CNAME-Eintrag setzen.
Einmaliger Schritt:
CNAME-Eintrag anlegen – das war’s.
Laufender Betrieb:
Keine weitere Interaktion nötig: Zertifikate werden automatisch ausgestellt, überwacht und erneuert.
Du kannst Zertifikate natürlich weiterhin prüfen oder in dein Monitoring aufnehmen.