Automatic Certificate Management Environment
# Automatic Certificate Management Environment

Das Automatic Certificate Management Environment (ACME) ist ein Protokoll zur automatischen Prüfung der Inhaberschaft einer Internet-Domain und dient der vereinfachten Ausstellung von digitalen Zertifikaten für TLS-Verschlüsselung. Ziel der Umgebung ist es, die Zertifikate automatisiert und sehr kostengünstig auszustellen. Es wurde von der Internet Security Research Group (ISRG) für den Einsatz im Let’s-Encrypt-Dienst entwickelt.

Das Protokoll basiert auf JSON-formatierten Meldungen, die über HTTPS ausgetauscht werden. Das Protokoll ist im März 2019 von der Internet Engineering Task Force (IETF) als RFC 8555 standardisiert worden.

## Versionen

### ACMEv1

Die ACME-Version 1 wurde am 12. April 2016 veröffentlicht. Mit dieser Version können Zertifikate für einzelne oder mehrere Domains, wie z. B. https://example.com oder https://cluster.example.com, ausgestellt werden. Es werden bis zu 100 Domainnamen pro Zertifikat unterstützt. Let’s Encrypt hat die Unterstützung für ACMEv1 zum 1. Juni 2021 eingestellt.

### ACMEv2

Die ACME-Version 2 unterstützt zusätzlich zu vollständigen Domainnamen in Zertifikaten neu auch Wildcard-Namen, wie z. B. *.example.com. Damit wird ermöglicht, dass viele oder wechselnde Subdomains, wie z. B. https://cluster1000.example.com bis https://cluster9999.example.com, über dasselbe Wildcard-Zertifikat *.example.com abgesichert werden können. Zu beachten ist, dass Hostnamen in Subdomains (z. B. www.cluster1234.example.com) oder Hauptdomain (example.com) vom Wildcard-Zertifikat nicht abgedeckt werden. Diese Namen müssen als zusätzlicher Eintrag (Subject Alternative Name) im Zertifikat auftauchen oder es muss ein weiteres Zertifikat dafür ausgestellt werden.

In RFC 6125 wird aus Sicherheitsgründen von Wildcard-Zertifikaten abgeraten. In vielen Fällen erübrigt die Möglichkeit zur Online-Erstellung von Zertifikaten auch den Bedarf für Wildcards.

### ACME Renewal Information

Die Protokoll-Erweiterung ACME Renewal Information (ARI) ermöglicht einer Zertifizierungsstelle, dem ACME-Client mitzuteilen, wann eine Zertifikatserneuerung erfolgen soll. Dadurch kann die Zertifizierungsstelle Lastspitzen besser verteilen oder eine vorzeitige Zertifikatserneuerung im Fall eines Zertifikats-Widerrufs auslösen. ARI wurde im Jahr 2020 von Let’s Encrypt in den Standardisierungsprozess der IETF eingebracht. Im August 2023 war es im Status eines Internet-Drafts. Let’s Encrypt setzt ARI seit März 2023 produktiv ein.

## Verbreitung

ACME wird von verschiedenen Zertifizierungsstellen zur Ausstellung von PKIX-Zertifikaten eingesetzt. Der kostenlose Anbieter Let’s Encrypt verwendet es als einziges Verfahren zur Zertifikatsausstellung. Kommerzielle Anbieter wie Buypass Go SSL, SSL.com oder ZeroSSL verwenden ACME, um kostenlose Zertifikate mit eingeschränkter Gültigkeitsdauer auszustellen.

Es gibt eine Vielzahl von ACME-Clients als Open-Source-Software.

