Ověření domény - SSL certifikáty
Provedení doménové validace je bezpodmínečně nutné pro vystavení jakéhokoliv SSL certifikátu. Je to zásadní podmínka aby CA mohla neprodleně vystavit doménový certifikát (DV) nebo aby zahájila validaci společnosti (OV a EV certifikáty). Veškeré validace provádí certifikační autorita. Nyní se podíváme na několik způsobů validace domén.
E-MAIL validace
Nejrychlejší způsob ověření domény je e-mailová validace (DCV). Certifikační autorita zašle ověřovací e-mail na vybranou adresu, majitel nebo správce domény v něm klikne na odkaz a potvrdí žádost o vydání certifikátu. Celý proces trvá jen pár minut a certifikát je vydán ihned po schválení.
Pro potvrzení domény jsou k dispozici pouze tyto e-mailové adresy: admin@, administrator@, webmaster@, hostmaster@, postmaster@.
Nabízené e-maily jsou nastaveny podle pravidel CA/B fóra a nelze použít jiný e-mail! Ověřovací email nelze poslat na osobní adresu např. myname@gmail.com.
Validační e-mail na doméně musí být vytvořen a funkční. Pokud žádný z uvedených e-mailů není k dispozici, je nutné jej vytvořit. Může to být také alias na některý, již existující e-mail na doméně.
Od 15. března 2028 bude e-mailové ověřování domén ZRUŠENO! Povoleno zůstane pouze ověřování přes DNS záznamy a HTTP/HTTPS soubory.
Co dělat, když nepřijde validační e-mail?
Validační e-mail je zasílán přímo certifikační autoritou neprodleně po objednání certifikátu u autority. Certifikační autority zasílají validační e-maily většinou z adres typu no-reply@ (CA Sectigo noreply_support@trust-provider.com, CA RapidSSL z no-reply@rapidssl.com).
Validační e-mail je možné kdykoli poslat znovu. Poslání se provádí v Administraci: Detail certifikátu -> Informace o objednávce -> Typ validace: -> upravit - > Poslat.
Upozornění: Pokud validační e-mail nelze přijmout ani po vícenásobných pokusech, zkontrolujte si název domény zda nedošlo k překlepu při objednávání. Je také možné, že váš poskytovatel má nastaveny antispamové filtry tak, že jsou e-maily od zahraniční autority odmítány. V tom případě je nutné kontaktovat vašeho poskytovatele elektronické pošty nebo zvážit využití DNS/HTTP(S) validace.
DNS validace
Nastavení DNS záznamů domény se většinou provádí u poskytovatele hostingu nebo registrátora domény. Certifikační autorita vygeneruje unikátní řetězec, který se vloží do DNS jako TXT záznam, případně se nastavuje jako CNAME (PositiveSSL certifikáty). Jakmile je záznam přidán do DNS a rozšíří se, může certifikační autorita záznam zkontrolovat a pokud je v pořádku, doména je ověřena.
Pro TXT záznamy v DNS se nabízí dvě množnosti nastavení. Certifikační autorita kontroluje oba záznamy a alespoň jeden musí být nastaven správně.
- Host: yourdomain.com
- prefix _dnsauth → Host: _dnsauth.yourdomain.com
Ukázka validace DNS pomocí TXT záznamu
DNS TXT record: d3pyrjg65d8hh1bv0tgr4bx890yksq8j
Ukázka validace DNS pomocí záznamu CNAME
DNS CNAME record: _cfd00c1ec2d56372b27b9562f5da83d0.yourdomain.com CNAME
cb3a889855882c6518c0ac959be30067.e8349bfb8ec9a0334864d9bf350a1188.t0119001001421510849.comodoca.com
Upozornění:
- U objednávky SSL certifikátu pro doménu www.yourdomain.com musí být TXT záznam dostupný v DNS na doméně bez "www".
- Pro domény vyšších řádů je nutné DNS záznamy nastavovat na stejné úrovni.
- Propagace nového DNS záznamu může trvat až 30 min. Někdy i více.
- Vždy si ověřte, že je záznam k dispozici pomocí online nástrojů digwebinterface.com nebo whatsmydns.net.
File-Based Authentication (HTTP(S) validace)
Tato metoda DCV validuje doménu pomocí souboru na serveru. Certifikační autorita ověřuje doménu pomocí TXT souboru umístěného do diskového prostoru domény. Veřejně dostupný soubor obsahuje textový řetězec (token), který je nutné nahrát do adresáře /.well-known/pki-validation/ webových stránek. Certifikační autorita ověří jeho existenci a tím také validuje, že žadatel má přístup k doméně a má právo s doménou disponovat. Každá žádost má vždy vlastní textové řetězce, které jsou uvedeny v detailu objednávky. Níže uvedené řetězce jsou pouze pro ukázku.
Ukázka HTTP(S) validace RapidSSL certifikátu
Název souboru: fileauth.txt
Cesta k souboru: http://yourdomain.com/.well-known/pki-validation/fileauth.txt
Obsah souboru (token):
8CC79447A5MTg4MzY1MA2#!cm5ywz5m1lzoyfp2xhy7
Textový soubor obsahuje pouze token, bez jakýchkoli dalších informací.
Platná musí být také cesta: http://www.yourdomain.com/.well-known/pki-validation/fileauth.txt
Ukázka HTTP(S) validace Sectigo PositiveSSL certifikátu
Název souboru: 048B0565E245687S52C7801EA7D4B954F3.txt
Cesta k souboru:
http://yourdomain.com/.well-known/pki-validation/048B0565E245687S52C7801EA7D4B954F3.txt
Obsah souboru:
ecf434d0ef25e1ae777fbc7e98fb996182a7353254796fe586088809e4adec7d
sectigo.com
a40cfr5ef4a5ba6d365d
Informace musí být odděleně na samostatných řádcích.
Platná musí být také cesta: http://www.yourdomain.com/.well-known/pki-validation/048B0565E245687S52C7801EA7D4B954F3.txt
Upozornění:
- Ověřovací soubor musí být přístupný na adrese bez "www" a také na adrese s "www". A to i v případě žádosti o certifikát pro doménu s "www", tedy například www.yourdomain.com.
- Pokud objednáte SSL certifikát pro doménu yourdomain.com a soubor je přístupný pouze na doméně http(s)://yourdomain.com, ale není k dispozici na www.yourdomain.com, pak bude SSL certifikát vystaven pouze pro doménu yourdomain.com. Tento princip platí i obráceně - objednávka pro doménu www.yourdomain.com nebude mít přístupný soubor přes samotnou doménu yourdomain.com, certifikát bude vystaven pouze pro www.yourdomain.com.
- Pro domény vyšších řádů je nutné soubory nastavovat na stejné úrovni.
- Pro WildCard SSL certifikáty již není možné použít metodu ověření HTTP(S).
- Vždy si sami ověřte, že je soubor k dispozici a zobrazí se vám v prohlížeči!
Validace IP adresy
Validace IP adresy funguje stejně jako HTTP(S) validace. Na server se musí umístit soubor, který bude pro certifikační autoritu dostupný na adrese IP/.well-known/pki-validation/. Certifikační autorita ověří jeho existenci a tím také validuje, že žadatel má správu IP adresy pod kontrolou.
http(s)://9.9.9.9/.well-known/pki-validation/fileauth.txt
Kam dál?
Zpět na Nápovědu
Našli jste chybu nebo něčemu nerozumíte? Napište nám!
