Thomas.will: Die Seite wurde neu angelegt: „====Wildcard-Zertifikate mit DNS-Challenge in Traefik==== Traefik kann Wildcard-Zertifikate für Domains wie '''*.samogo.de''' ausstellen, wenn die DNS-Challe…“

2025-04-08T11:53:18Z

Die Seite wurde neu angelegt: „====Wildcard-Zertifikate mit DNS-Challenge in Traefik==== Traefik kann Wildcard-Zertifikate für Domains wie '''*.samogo.de''' ausstellen, wenn die DNS-Challe…“

Neue Seite

====Wildcard-Zertifikate mit DNS-Challenge in Traefik====

Traefik kann Wildcard-Zertifikate für Domains wie '''*.samogo.de''' ausstellen, wenn die DNS-Challenge verwendet wird. Dies ist erforderlich, da Let's Encrypt Wildcard-Zertifikate nur über DNS-Challenges erlaubt.

====Voraussetzungen====

* Traefik muss Zugriff auf ein Skript haben, das DNS-Records automatisch setzen kann (z. B. über die API des DNS-Anbieters).
* Das Zertifikat wird über den Resolver '''letsencrypt''' beantragt.
* Ein DNS-Eintrag vom Typ '''TXT''' unter '''_acme-challenge.domain.tld''' muss automatisiert gesetzt und verifiziert werden können.

====Beispielkonfiguration in traefik.yaml====

<pre>
certificatesResolvers:
letsencrypt:
acme:
storage: /letsencrypt/acme.json
email: technik@xinux.de
dnsChallenge:
provider: exec
delayBeforeCheck: 15
resolvers:
- 1.1.1.1:53
- 1.0.0.1:53
</pre>

====DNS-Challenge via exec====

Im Traefik-Container muss ein Skript bereitgestellt werden, das per Umgebungsvariable '''EXEC_PATH''' aufgerufen werden kann. Beispiel:

<pre>
environment:
- EXEC_PATH=./update-dns.sh

volumes:
- ./update-dns.sh:/update-dns.sh
</pre>

Das Skript muss je nach Provider den passenden TXT-Record setzen und nach Abschluss auch wieder entfernen.

====Verwendung in Docker-Labels====

Bei jedem Traefik-Router, der ein Zertifikat nutzen soll, muss der Certresolver explizit angegeben werden:

<pre>
- "traefik.http.routers.name.tls.certresolver=letsencrypt"
</pre>

Auch wenn ein Wildcard-Zertifikat bereits vorhanden ist, ordnet Traefik es nur dann zu, wenn der Resolver angegeben ist.

====Beispiel: Uptime-Kuma====

<pre>
- "traefik.http.routers.uptime-kuma-secured.rule=Host(`uptime-kuma.samogo.de`)"
- "traefik.http.routers.uptime-kuma-secured.entrypoints=websecure"
- "traefik.http.routers.uptime-kuma-secured.tls=true"
- "traefik.http.routers.uptime-kuma-secured.tls.certresolver=letsencrypt"
</pre>

====Zertifikatslaufzeit====

Das Wildcard-Zertifikat ist wie üblich 90 Tage gültig und wird von Traefik automatisch erneuert, solange das DNS-Skript korrekt funktioniert.

Wildcard-Zertifikate mit DNS-Challenge in Traefik - Versionsgeschichte

Thomas.will: Die Seite wurde neu angelegt: „====Wildcard-Zertifikate mit DNS-Challenge in Traefik==== Traefik kann Wildcard-Zertifikate für Domains wie '''*.samogo.de''' ausstellen, wenn die DNS-Challe…“