טוביאס פלדמן / Tobias Feldmann
Michael Roesch 
@tobi Ich muss mal bei Gelegenheit DNS-Persist-01 ausprobieren. Dann ist man nicht mehr auf die API des DNS Providers angewiesen https://letsencrypt.org/2026/02/18/dns-persist-01
DNS-PERSIST-01: A New Model for DNS-based Challenge Validation
When you request a certificate from Let’s Encrypt, our servers validate that you control the hostnames in that certificate using ACME challenges. For subscribers who need wildcard certificates or who prefer not to expose infrastructure to the public Internet, the DNS-01 challenge type has long been the only choice. DNS-01 works well. It is widely supported and battle-tested, but it comes with operational costs: DNS propagation delays, recurring DNS updates at renewal time, and automation that often requires distributing DNS credentials throughout your infrastructure.
@roeshimi Oh, sehr fein!
Bzgl. der API Geschichten ärgere ich mich, dass desec nicht fehlerfrei tut. Hattest Du mich damals(tm) nicht darauf gebracht?
Bzgl. der API Geschichten ärgere ich mich, dass desec nicht fehlerfrei tut. Hattest Du mich damals(tm) nicht darauf gebracht?
@tobi Das kann sein ja. Mit deSEC hab ich keine Probleme, allerdings stelle ich nicht so oft Zertifikate aus
@roeshimi Es geht in diesem Fall nicht um Zertifikate, sondern um Einträge in DNS. Wenn Stalwart 2 CAA Records anlegen möchte, klappt das nicht über die API. Der 2. Eintrag wird abgelehnt bzw. es wird nicht erkannt, dass der erste Eintrag ergänzt werden muss. Ich frage mal beim Support an
@tobi Hmm hatte mit CAA bisher noch nicht viel zu tun. Ich würde das vmtl. mit dnscontrol machen, entweder manuell anstoßen oder, wie ich vor Kurzem konfiguriert habe, mit einer CI/CD Pipeline ebenfalls mit dnscontrol, in meinem Fall bei GitLab, mit einem Scoped API Token für deSEC, der erlaubt, nur bestimmte Records zu setzen
@roeshimi So ähnlich macht stalwart das ja auch. Nur gibt es 2 CAA Einträge, das bekommt die API von desec irgendwie nicht hin, andere schon.
desec macht ansonsten einen guten Job, daher frage ich da mal höflich an, vielleicht wird das ja was
desec macht ansonsten einen guten Job, daher frage ich da mal höflich an, vielleicht wird das ja was