Änderungen bei der Domain-Validierung für die Ausstellung von SSL-Zertifikaten im Jahr 2021

Das CA / B Forum, die Regulierungsbehörde der SSL-Zertifikatsbranche, hat mehrere Änderungen im Zusammenhang mit der Domain-Validierungsrichtlinie genehmigt. Die Änderungen gelten für alle neuen Zertifikate sowie für Neuausstellungen und Verlängerungen von alten Zertifikaten. Bereits ausgestellte SSL-/TLS-Zertifikate funktionieren weiterhin (sie müssen nicht geändert werden).

Domains müssen alle 398 Tage neu validiert werden

Ab dem 1. Oktober 2021 müssen Domains (FQDNs) alle 398 Tage neu validiert werden. Das gleiche gilt für die Revalidierung von IP-Adressen. Diese Änderung ist im Ballot SC42 vermerkt. Für die Organisation Validation (OV) bleibt die gleiche 825-tägige Datenwiederverwendungsfrist bestehen. 

Die Option Extended Validation (EV) ist davon nicht betroffen, da Domains mit EV-Zertifikaten bereits jedes Jahr eine Revalidierung benötigen.

Domain Control Validation (DCV) mit Datei-Authentifizierung hat sich geändert

Das CA / B Forum hat einige Änderungen an der dateibasierten Domain-Authentifizierung vorgenommen. Die dateibasierte Domain Control Validation wird für Wildcard-Zertifikate deaktiviert. Gleichzeitig ist eine solche Validierung für einzelne Subdomains möglich.

E-Mail- und DNS-basierte Methoden zur Domain Control Validation sind davon nicht betroffen.

Richtlinienänderungen des CA / B Forum erfordern eine separate dateibasierte Validierung für jeden FQDN. Gleichzeitig funktioniert die Validierung auf Basis von E-Mail und DNS weiterhin für Wildcard-Zertifikate. Diese Methode kann verwendet werden, um alle Subdomains einer verifizierten Domain zu validieren. Die Änderung tritt am 1. Dezember 2021 in Kraft.

Muss ich etwas tun?

Es sind keine dringenden Maßnahmen erforderlich.

Um besser auf diese Änderungen vorbereitet zu sein, empfehlen wir, die Domain-Validierungsmethode für Wildcard- und Multi-Domain-Zertifikate auf E-Mail oder DNS zu ändern. Die Datei-Authentifizierung ist nur für einzelne Domains geeignet (sie deckt nicht mehr den gesamten Domainbereich innerhalb der verifizierten Domain ab).

Abonnieren Sie unsere Updates, um über die neuesten Ereignisse aus der SSL-Welt auf dem Laufenden zu bleiben!