Domain für lokale DNS01-Challenge-Zertifikate nutzen

ich habe altes & neues nc-DNS und bei mir sieht das so aus:

ss_2026-10-25_19-13-56.png

oben ist's für die neue,
unten für die legacy-api.

Weiß keiner.
Richte einfach den alten Key ein.
Der geht schon noch ein Weilchen, Over.

Die Legacy-API kann man aber nicht bei CloudDNS-Domains nutzen, um die es im ersten Beitrag geht. Oder habe ich was verpasst?

Die aktuelle Version von NPM unterstützt die Netcup Clouddns API noch nicht, weil eine veraltete Version des certbot-dns-netcup Plugins verwendet wird. Die Version ist in der Plugin-Liste von NPM auf ~=1.0.0 festgelegt. Die aktuelle Version des Plugins ist 2.1.0 und unterstützt beide APIs, aber sie wird von der Versionsanforderung ausgeschlossen.

Wenn du nicht warten willst, kannst du im NPM Container pip3 install --upgrade certbot-dns-netcup ausführen, um das Plugin auf den aktuellen Stand zu bringen. Dann müsste es auch mit der Netcup CloudDNS API funktionieren. Ich kann das nicht testen, weil ich noch keine Domain im neuen System habe. Für eine dauerhafte Lösung müsstest du dafür sorgen, dass das Upgrade jedesmal ausgeführt wird, wenn der Container neu zusammengebaut wird.

Eine Alternative ist, die _acme-challenge Subdomain per CNAME auf eine Domain bei einem Provider zeigen zu lassen, dessen API aktuell in NPM unterstützt wird, und die DNS01 Challenge mit der dortigen API durchzuführen. Es gibt einen Client und einen damit verbundenen Dienst (auch zum selber hosten), die speziell auf diese Anwendung zugeschnitten sind: ACME-DNS.

Du kannst natürlich auch die DNS-Server auf einen anderen DNS-Hoster mit einer unterstützten API umstellen oder die Domain gleich ganz zu einem anderen Registrar umziehen.

Der in NPM verfügbare "LeGo" Client arbeitet auch an der Unterstützung der neuen Netcup API, aber auch das ist noch nicht in NPM verfügbar.

Zitat von KB19

Die Legacy-API kann man aber nicht bei CloudDNS-Domains nutzen

ja stimmt, vermutlich nicht, wenn die domain nie im alten system war.
ich konnte vor geraumer zeit auf eine migrierte domain jedenfalls mit beiden zugreifen.

auf meine eine aktuelle hier im clouddns mit externem desec, kann ich auch noch auf die records zugreifen.
wobei es jetzt ja ein flag gibt (isDnsManaged).

ansonsten einfach machen, was NaN sagt…

Olivetti Und die Records waren dann auch wirklich bei den richtigen NS "live"?

Ich würde eher darauf tippen, dass man damit weiterhin und quasi unbemerkt root-dns.netcup.net befüllt und nicht CloudDNS.

Zitat von KB19

Und die Records waren dann auch wirklich bei den richtigen NS "live"?

nein, nicht wirklich, sie war dann auch relativ schnell kaputt (DNSSEC-fehler).
ich schliesse aber auch nicht aus, daß es hier evtl. deshalb zu bestimmten fehlern kommen kann.