ACME ist das Protokoll, über das ein Server ein Zertifikat beantragt, den Nachweis über die Domain führt und es später selbst erneuert, ohne dass jemand eingreift. Bekannt geworden ist es durch Let's Encrypt, das seit 2015 auf diesem Weg kostenlos ausstellt. Der Name steht für Automatic Certificate Management Environment.
- ACME
Das Protokoll, über das Zertifikate ohne menschliches Zutun ausgestellt und erneuert werden.
Beispiel: „Der Server erneuert sein Zertifikat per ACME alle sechzig Tage von selbst.“Festgeschrieben als RFC 8555. Gesprochen wird es wie das englische Wort acme, also Gipfel.
Abgrenzung zum Zertifikat selbst: Das Zertifikat ist das Ergebnis, ACME der Weg dorthin. Dieselbe Datei lässt sich auch von Hand bei einer kommerziellen Stelle kaufen.
Wie der Nachweis bei ACME läuft
Die ausstellende Stelle gibt eine Aufgabe, die nur lösen kann, wer die Domain wirklich kontrolliert. Beim verbreiteten Weg legt der Server eine bestimmte Datei unter einer festgelegten Adresse ab, und die Gegenseite ruft sie über HTTP ab.
Der zweite Weg läuft über einen DNS-Eintrag und ist der einzige, über den sich ein Zertifikat für eine ganze Domain samt allen Unterdomains ausstellen lässt. Dafür braucht das Werkzeug Zugriff auf die DNS-Verwaltung.
Warum ACME-Zertifikate so kurz gültig sind
Weil die Erneuerung automatisch läuft, kostet eine kurze Laufzeit nichts und begrenzt den Schaden, falls ein Schlüssel abhandenkommt. Let's Encrypt stellt für neunzig Tage aus, erneuert wird üblicherweise nach sechzig.
Die Richtung geht zu noch kürzeren Zeiten. Wer darauf baut, dass ein Zertifikat ein Jahr hält und einmal jährlich jemand daran denkt, baut auf etwas, das gerade verschwindet.
Woran ACME in der Praxis scheitert
Fast immer an einer Weiterleitung. Leitet der Server jede Anfrage auf HTTPS oder auf eine andere Domain um, erreicht die Prüfung die abgelegte Datei nicht, und die Ausstellung schlägt fehl. Der Pfad für den Nachweis gehört deshalb von jeder Umleitung ausgenommen.
Der zweite Fall ist die Begrenzung: Let's Encrypt lässt nur eine bestimmte Zahl von Ausstellungen je Domain und Woche zu. Wer eine Einrichtung mehrfach durchprobiert, steht am Ende vor einer Sperre, die eine Woche hält.