FAQ – FQDN-validatie bij ACME

Wat is de FQDN-optie bij ACME-credentials?

Bij de ACME-credentials in het Networking4all-portaal staat een optie FQDN.

Met deze optie bepaal je op welk niveau de DNS-validatie moet plaatsvinden:

• FQDN uitgeschakeld (standaard): validatie op het basisdomein.

• FQDN ingeschakeld: validatie op het volledige (sub)domein.

Deze instelling is vooral bedoeld voor organisaties die certificaatbeheer willen beperken tot specifieke subdomeinen.

Waar vind ik de FQDN-instelling?

De FQDN-instelling is beschikbaar op de ACME Credentials-pagina in het ACME-dashboard.

Standaard staat deze optie uitgeschakeld.

Hoe werkt de standaardvalidatie (FQDN uitgeschakeld)?

Wanneer FQDN is uitgeschakeld, hoeft de DNS-validatie alleen plaats te vinden op het basisdomein.

Voorbeeld

Je wilt een certificaat aanvragen voor:

app.example.com

Dan volstaat één validatierecord op:

_dnsauth.example.com

Met dit record kunnen certificaten worden aangevraagd voor:

• example.com

• www.example.com

• app.example.com

• mail.example.com

• andere subdomeinen van example.com

Hoe werkt FQDN-validatie?

Wanneer FQDN is ingeschakeld, moet ieder volledig domein afzonderlijk worden gevalideerd.

Voorbeeld

Je wilt een certificaat aanvragen voor:

app.example.com

Dan moet het validatierecord worden geplaatst op:

_dnsauth.app.example.com

Een record op:

_dnsauth.example.com

is dan niet voldoende.

Wat is het verschil tussen beide methoden?

FAQ – Wanneer gebruik ik FQDN-validatie?

Wanneer is FQDN handig?

FQDN is vooral geschikt wanneer verschillende partijen verantwoordelijk zijn voor verschillende subdomeinen.

Hierdoor hoeft een partij geen toegang te hebben tot de DNS-zone van het hoofddomein.

Voorbeeld: externe leverancier

Stel een organisatie beheert:

example.com

Een externe leverancier beheert uitsluitend:

partners.example.com

Je maakt voor deze leverancier:

• een eigen set ACME-credentials;

• een whitelist voor partners.example.com;

• FQDN ingeschakeld.

De leverancier hoeft dan alleen het volgende DNS-record te beheren:

_dnsauth.partners.example.com

Er is geen toegang nodig tot:

_dnsauth.example.com

Kan ik meerdere ACME-credentials voor hetzelfde basisdomein gebruiken?

Ja.

Met FQDN ingeschakeld kunnen meerdere partijen elk hun eigen subdomeinen beheren.

Voorbeeld

Iedere partij valideert uitsluitend zijn eigen subdomein.

FAQ – FQDN in combinatie met de whitelist

Werkt FQDN samen met de whitelist?

Ja.

De whitelist bepaalt welke domeinen met een set ACME-credentials mogen worden aangevraagd.

FQDN bepaalt waar de DNS-validatie moet plaatsvinden.

Samen zorgen deze functies voor een extra beveiligingslaag.

Is een whitelist altijd voldoende?

Niet altijd.

Wanneer FQDN is ingeschakeld, moet ook het juiste _dnsauth-record aanwezig zijn op het volledige domein.

Ontbreekt dit record, dan kan geen certificaat worden aangevraagd, ook al staat het domein op de whitelist.

FAQ – Wat zijn de voordelen van FQDN?

Waarom zou ik FQDN inschakelen?

FQDN biedt meer controle over het certificaatbeheer.

Voordelen zijn onder andere:

• DNS-validatie per subdomein.

• Meerdere onafhankelijke ACME-credentials voor hetzelfde basisdomein.

• Geen toegang nodig tot de DNS-zone van het hoofddomein.

• Extra beveiliging doordat alleen beheerders van een specifiek subdomein certificaten kunnen aanvragen.

Is FQDN alleen bedoeld voor externe partijen?

Nee.

Hoewel FQDN vaak wordt gebruikt voor externe leveranciers, is de functie ook geschikt voor grote organisaties waarin verschillende afdelingen of IT-divisies uitsluitend toegang hebben tot hun eigen DNS-zone.

Hiermee kunnen interne teams zelfstandig certificaten beheren zonder rechten op het hoofddomein.

Staat FQDN standaard ingeschakeld?

Nee.

FQDN staat standaard uitgeschakeld, omdat de meeste organisaties voldoende hebben aan validatie op het basisdomein.

Alleen wanneer er behoefte is aan strengere scheiding van verantwoordelijkheden of extra beveiliging, is het aan te raden FQDN in te schakelen.