LetsEncrypt: Renovações automáticas de certificados sem servidor da Web e alterações de DNS / configuração

Question

Existe QUALQUER maneira de renovar automaticamente os certificados LetsEncrypt sem

1. Ter um registro A nesse domínio
2. Atualizando a zona DNS a cada renovação

Exemplo: gostaria de usá-lo para o meu servidor XMPP que usa registros SRV. Eu faço não quero adicionar um registro A.

Eu poderia adicionar manualmente um registro TXT. No entanto, parece que isso deve ser feito a cada renovação e, portanto, não é prático. NÃO quero alterar um registro TXT em cada renovação.

Eu poderia usar nsupdate em um script, mas não deseja configurar o DNS dinâmico apenas para isso.

Métodos em que eu poderia pensar:

1. Coloque uma chave pública como registro TXT no DNS (uma vez!). A cada renovação, um desafio é assinado com a chave privada correspondente. De longe o mais elegante

2. Um registro SRV especial que aponta para um serviço em que um servidor TCP temporário é aberto para atender essa solicitação

3. Um email com um desafio é enviado para um endereço em whois do domínio pai que é automaticamente respondido usando um servidor SMTP

Answer 1

Existem vários métodos de desafio diferentes como parte da especificação da ACME . Estas são as únicas formas de verificar o seu domínio, pelo que terá de escolher um dos métodos de desafio especificados. Com base na sua descrição, o desafio do DNS (definir um registro TXT) soa como o método mais fácil de usar sem configurar / expor um servidor da Web, mas você terá que decidir qual é o melhor para sua situação.