20170705 - Modification des challenges DCV HTTP/HTTPS et DCV DNS
Le 20 juillet les procédures de validation DCV HTTP/HTTPS et DCV DNS évolueront légèrement pour rester en conformité avec les recommandations du BR1 émises par le CA/B Forum.
Ce qui change ?
Le fichier de validation ou la valeur à utiliser pour le paramètre CNAME, qui pouvaient jusqu'alors être utilisés indéfiniment (sous réserve d'utiliser le même CSR), devront désormais être uniques, c'est à dire différents pour chaque commande.
Le fichier et la configuration DNS devront donc être remplacés pour chaque renouvellement, refabrication ou nouvelle demande que le CSR change ou non.
Pour les méthodes DCV HTTP(s) ou CNAME, chaque SAN inscrit dans le certificat sera vérifié.
Ainsi, pour les offres standard incluant le domaine racine (Sécurise avec et sans le www),
la validation DCV s'effectuera sur les 2 FQDNs. Par exemple pour www.domaine.fr :
- https://www.domaine.fr/.well-known/pki-validation/xxxx.txt
- https://domaine.fr/.well-known/pki-validation/xxxx.txt
- _xxxx.www.domaine.fr. CNAME yyyy.yyyy.zzz.comodoca.com.
- _xxxx.domaine.fr. CNAME yyyy.yyyy.zzz.comodoca.com.
Comment obtenir un fichier unique ?
Le fichier et la valeur de configuration du DNS sont générés à partir du résultat de hachage de votre CSR. plusieurs méthodes peuvent alors être utilisées pour obtenir un fichier unique.
- Le plus évident : générer un CSR à chaque demande
- Modifier l'ordre de la liste des SANs si votre CSR en contient ou ajouter un champ
optionnel (challenge password par exemple)
- Si vous ne souhaitez pas modifier votre CSR alors il est possible d'utiliser une
"UniqueValue" : Plutôt que de hacher le CSR seul il sera accompagné de cette
"UniqueValue" rendant la valeur obtenue unique.
Par défaut TBS INTERNET utilisera cette solution et générera la "UniqueValue" (de manière aléatoire) ainsi le fichier correspondant ou la valeur CNAME lors du dépôt de votre commande : Il suffira de télécharger le fichier et de l'installer ou de configurer votre DNS avec les valeurs communiquées.
Note : les utilisateurs de l'API TBS pourront choisir leur "UniqueValue". Cette dernière devra alors être composée d'une chaine de 1 à 20 caractères.
Quels sont les produits concernés ?
Tous les certificats serveur TBS X509, Sectigo et Positive SSL.