Automatische Zertifikatsausstellung mit acme.sh Funktioniert über die Netcup API nicht mehr

    Hallo,

    ich bin grade dabei, meine Domain auf eine gebuchte Domain von Netcup umzuziehen. Leider musste ich feststellen, dass mein sonnst genutzter ACME - Client acme.sh nicht mehr mit Netcup über eine DNS - Challenge funktionieren zu scheint.

    Die Anfragen vom acme.sh client werden dabei immer von der netcup API zurückgewiesen, obwohl der im feld angegebene Hostname erstmal richtig konfiguriert aussieht:

    body='{"action": "updateDnsRecords", "param": {"apikey": "APIKEY", "apisessionid": "SzhFNjFYMzk3NDUyNHZBbW9IYVRqR2JyU2ZCUm1RSTVzdTdGMz", "customernumber": "CUSTOMERNUMBER","clientrequestid": "" , "domainname": "_acme-challenge.placeholder.de", "dnsrecordset": { "dnsrecords": [ {"id": "", "hostname": "_acme-challenge.placeholder.de.", "type": "TXT", "priority": "", "destination": "BdzdBncBCbhcCEwhQg0bOffbUyWTuAzuqt5BxlizCyY", "deleterecord": "false", "state": "yes"} ]}}}'

    Würde ich den Eintrag händisch über das CCP - Portal hinzufügen, würde dieser Eintrag auch akzeptiert werden, nur die API weisst diesen scheinbar zurück.

    Gibt es hier jemanden, der ähnliches Problem oder gar eine Lösung hat?

    Viele Grüße. :)

    Wenn es die Nicht-Funktion der API mit Netcup CloudDNS ist, dann ist ein Lösungsansatz (außer der Registrierung der Domain bei einem anderen Hoster), die Nameserver auf einen anderen Betreiber umzustellen, z.B. Cloudflare oder deSEC und die dortige API zu nutzen.

    Wenn du die API nur für Letsencrypt brauchst, kannst du auch nur einen CNAME für die _acme-challenge Subdomain anlegen und auf einen Domainnamen zeigen lassen, den du mit einer API bearbeiten kannst. Damit können nicht alle ACME Clients umgehen, aber der Standardclient kann es.

    Ich mache das so, also CNAME auf einen Domainnamen bei deSEC und Token bei deSEC hinterlegen, um die Letsencrypt DNS01-Challenge durchzuführen. Die Netcup-API habe ich nie benutzt, obwohl sie bei mir funktionieren würde, weil meine Domains noch nicht auf das neue System migriert sind. Für mich ist das eine Sicherheitsfrage: Die eigentlichen Domaindaten sind durch die Aufteilung nur manuell änderbar. Mit dem Logintoken für deSEC ist nur die _acme-challenge Subdomain erreichbar (via CNAME).

    Hallo zusammen,

    vielen Dank für eure Antworten. Das neukunden scheinbar stand jetzt immer noch nicht die API nutzen können ist... interessant. Es wäre super, wenn es hier einen Hinweis gegeben hätte, denn ohne den verlinkten Thread von Patrick0815 wäre ich da wirklch nicht drauf gekommen.

    Zitat von NaN

    Wenn es die Nicht-Funktion der API mit Netcup CloudDNS ist, dann ist ein Lösungsansatz (außer der Registrierung der Domain bei einem anderen Hoster), die Nameserver auf einen anderen Betreiber umzustellen, z.B. Cloudflare oder deSEC und die dortige API zu nutzen.

    Wenn du die API nur für Letsencrypt brauchst, kannst du auch nur einen CNAME für die _acme-challenge Subdomain anlegen und auf einen Domainnamen zeigen lassen, den du mit einer API bearbeiten kannst. Damit können nicht alle ACME Clients umgehen, aber der Standardclient kann es.

    Ich mache das so, also CNAME auf einen Domainnamen bei deSEC und Token bei deSEC hinterlegen, um die Letsencrypt DNS01-Challenge durchzuführen. Die Netcup-API habe ich nie benutzt, obwohl sie bei mir funktionieren würde, weil meine Domains noch nicht auf das neue System migriert sind. Für mich ist das eine Sicherheitsfrage: Die eigentlichen Domaindaten sind durch die Aufteilung nur manuell änderbar. Mit dem Logintoken für deSEC ist nur die _acme-challenge Subdomain erreichbar (via CNAME).

    Das werde ich mich auch mal ansehen, vielen Dank. Wobei das ganze für mich als neukunde natürlich etwas unschön wirkt.. bei meinem vorherigem DNS anbieter hatte ich mit solchen Themen keinerlei probleme, bzw. funktionierte der acme - client über die entsprechende API out of the box.

    Viele Grüße,

    Robin.