Domain Control Validation (DCV): Methoden und optimale Auswahl

Sie können digitalen Zertifikaten vertrauen, die von seriösen Zertifizierungsstellen ausgestellt wurden, da diese einen Domain-Control-Validation-Prozess (DCV) durchlaufen, der die Legitimität der Stelle, die das SSL/TLS-Zertifikat anfordert, und den Domain-Besitz, für den das Zertifikat ausgestellt wird, überprüft.

In diesem Artikel erfahren Sie, was DCV ist, welche DCV-Methoden am häufigsten verwendet werden und wie Sie eine geeignete Methode für Ihren Zertifikatsantrag auswählen können.

Was ist eine Domain-Control-Validation?

Zertifizierungsstellen führen vor der Ausstellung eines SSL/TLS-Zertifikats eine Domain-Kontrollvalidierung durch, um zu bestätigen, dass die Stelle, die das Zertifikat anfordert, zur Nutzung der betreffenden Domain berechtigt ist. Durch diesen Prozess wird sichergestellt, dass die Partei, die das Zertifikat beantragt, das Recht hat, diese Domain mit dem SSL/TLS-Zertifikat zu sichern.

Die DCV ist ein entscheidender Schritt bei der Ausstellung von SSL/TLS-Zertifikaten. Der Prozess hilft dabei:

• Betrügerische Zertifikatsausstellungen zu verhindern, indem sichergestellt wird, dass Zertifizierungsstellen digitale Zertifikate nur an legitime Domaininhaber ausstellen, wodurch Vertrauen und Sicherheit im Internet geschaffen werden.
  
• Überprüfung des Domain-Besitzes, um zu verhindern, dass Kriminelle SSL/TLS-Zertifikate für Domains erhalten, die ihnen nicht gehören.
• Schutz vor Phishing und Man-in-the-Middle-Angriffen, indem Kriminelle daran gehindert werden, vertrauenswürdige Websites nachzuahmen und Benutzer zur Eingabe sensibler Informationen zu verleiten.
• Gewährleistung der Vertraulichkeit und Integrität von Daten durch robuste Verschlüsselungsalgorithmen zum Schutz der zwischen Browsern und Website-Servern übertragenen Informationen.
• Schutz der Online-Reputation, indem gezeigt wird, dass die Organisation mit dem SSL/TLS-Zertifikat die Sicherheit ernst nimmt.

Die gängigsten DCV-Methoden

Zertifizierungsstellen verwenden verschiedene DCV-Methoden, um den Domainbesitz zu überprüfen. Diese erhöhen die Flexibilität des Prozesses und berücksichtigen verschiedene Szenarien, um eine sichere und zuverlässige Ausstellung von SSL/TLS-Zertifikaten zu gewährleisten. Hier sind die gängigsten:

E-Mail-basierte Validierung

Die Zertifizierungsstelle sendet eine E-Mail an eine vordefinierte E-Mail-Adresse, die mit der Domain verknüpft ist, die zur Erstellung der certificate signing request (CSR) verwendet wurde. Die E-Mail-Adresse ist in der Regel generisch, z. B. [email protected], [email protected] und [email protected]. Der Zertifikatsantragsteller meldet sich bei seinem Konto an und befolgt die Anweisungen in der E-Mail, z. B. die Antwort mit einem Validierungscode oder das Klicken auf einen Link in der DCV-E-Mail, um zu bestätigen, dass er der Eigentümer der Domain ist.

Die E-Mail-basierte Validierung funktioniert für alle Arten von SSL/TLS-Zertifikaten, einschließlich Domain Validation (DV), Organization Validation (OV) und Extended Validation (EV). Für Domains mit privater Registrierung müssen möglicherweise alternative Methoden zur Validierung der Domainkontrolle verwendet werden.

DNS-basierte Validierung

Bei dieser Methode muss der Zertifikatsantragsteller einen bestimmten DNS-TXT-Eintrag in der DNS-Zonendatei der Domain erstellen, dessen Inhalt und Informationen von der Zertifizierungsstelle vorgegeben werden. Anschließend überprüft das Validierungssystem der Zertifizierungsstelle die DNS-Einträge, um die Domainkontrolle zu verifizieren. Die DNS-Validierung eignet sich in der Regel für DV- und OV-Zertifikate. Sie wird im Allgemeinen nicht für EV-Zertifikate verwendet, ist jedoch die bevorzugte Methode zur Validierung von Wildcard-TLS-Zertifikaten.

HTTP-basierte Validierung

Der Zertifikatsantragsteller lädt eine Textdatei mit eindeutigem Inhalt von der Zertifizierungsstelle in das Stammverzeichnis seines Webservers oder an einen von der Zertifizierungsstelle angegebenen Speicherort hoch. Anschließend sendet das Validierungssystem der Zertifizierungsstelle eine HTTP-Anfrage an die URL, um die Datei zu überprüfen. Die HTTP-basierte Validierung wird in der Regel nicht für Wildcard-TLS-Zertifikate verwendet, da diese Methode keinen ausreichenden Nachweis für die Kontrolle über alle Subdomains liefert, die ein Zertifikat abdecken kann, was zu potenziellen Sicherheitsrisiken führt. 

WHOIS-basierte Validierung

Bei der Beantragung eines SSL-/TLS-Zertifikats stellt der Antragsteller Informationen über die Domain bereit (z. B. den Namen des Eigentümers und die Kontaktdaten). Die Zertifizierungsstelle fragt die WHOIS-Datenbank ab und vergleicht die Informationen mit den im Zertifikatsantrag bereitgestellten Daten. Stimmen die Informationen überein, betrachtet die Zertifizierungsstelle die Validierung als erfolgreich. 

Diese Validierungsmethode wird in der Regel für DV-Zertifikate verwendet. Sie ist jedoch weniger üblich für OV-Zertifikate und wird selten für EV-Zertifikate verwendet, für die strengere Verifizierungsverfahren erforderlich sind. Wenn Ihre Domain WHOIS-Datenschutzdienste verwendet, können Sie diese DCV-Methode möglicherweise nicht verwenden.

So wählen Sie die geeignete DCV-Methode aus

Bei der Auswahl der richtigen DCV-Methode für Ihren SSL/TLS-Zertifikatsantrag sind folgende Faktoren zu berücksichtigen:

• Domain-Typ. Die meisten DCV-Methoden eignen sich für TLS-Zertifikate mit einer einzigen Domain. Bei Zertifikaten mit mehreren Domains können Sie für jede aufgeführte Domain eine andere DCV-Methode verwenden. Bei Wildcard-Zertifikaten wird in der Regel eine DNS-basierte Validierung verwendet.
• Domain-Konfiguration. Die DNS-basierte Validierung ist eine bequeme Option, wenn Sie problemlos auf Ihre DNS-Einträge zugreifen können. Sie ermöglicht außerdem eine zentrale Steuerung und effiziente Validierung. Die HTTP-Methode ist bei Unternehmen beliebt, die die vollständige Kontrolle über den Webserver haben, auf dem die Domain gehostet wird.
  
• Vertrauensstufe. DNS- und HTTP-basierte Validierung bieten das höchste Maß an Vertrauen und Sicherheit, da sie die Kontrolle über Domain-Datensätze oder Webserver-Inhalte erfordern. Sie eignen sich am besten für EV-Zertifikate.
• Zertifikatstyp. DV-Zertifikate können E-Mail-, DNS- oder HTTP-basierte Validierung verwenden. OV- und EV-Zertifikate erfordern eine strengere Validierung, bei der andere Verifizierungsmethoden mit DCV kombiniert werden.
  

Berücksichtigen Sie auch Ihren Anwendungsfall, um die beste DCV-Methode zu bestimmen. Für persönliche, nicht-kommerzielle oder Standard-Unternehmenswebsites bieten DV-Zertifikate mit E-Mail- oder DNS-basierter Validierung eine angemessene Sicherheit. E-Commerce-Websites erfordern möglicherweise ein höheres Maß an Vertrauen und Sicherheit, das durch OV- oder EV-Zertifikate gewährleistet wird, was eine strengere Validierung erfordert.

Wie funktioniert der DCV-Prozess?

Wählen Sie zunächst eine DCV-Methode entsprechend Ihrem Domain-Typ, Ihrer Konfiguration und Ihren Validierungseinstellungen aus. Wählen Sie dann eine vertrauenswürdige Zertifizierungsstelle aus, bei der Sie Ihr TLS-Zertifikat erwerben möchten. Befolgen Sie nach dem Kauf des Zertifikats die Anweisungen der Zertifizierungsstelle, um Ihre Domain zu verifizieren (z. B. durch Klicken auf den E-Mail-Validierungslink, Hochladen einer DNS-TXT-Datei usw.).

So vermeiden Sie einige häufige Probleme während des Prozesses:

• Überwachen Sie die für die E-Mail-Validierung verwendeten E-Mail-Adressen, um Verzögerungen zu vermeiden.
• Planen Sie mögliche DNS-Propagierungsverzögerungen in Ihrem Implementierungszeitplan ein.
  
• Vergewissern Sie sich, dass Sie eine Textdatei mit dem richtigen Inhalt in das richtige Verzeichnis für die HTTP-basierte Validierung hochgeladen haben.

Nachdem die Zertifizierungsstelle die DCV abgeschlossen hat, stellt sie das SSL/TLS-Zertifikat aus. Folgen Sie den Anweisungen der Zertifizierungsstelle, um das Zertifikat auf Ihrem Webserver zu installieren. Verfolgen Sie alle Zertifikate und überwachen Sie deren Ablaufdaten, um eine rechtzeitige Erneuerung sicherzustellen und Ausfälle oder Dienstunterbrechungen zu vermeiden.

Optimieren Sie Ihr Zertifikatslebenszyklus-Management und Ihren DCV-Prozess

DCV ist ein wesentlicher Schritt bei der Ausstellung von SSL-/TLS-Zertifikaten, um sicherzustellen, dass Antragsteller zur Nutzung von Domains berechtigt sind. Der Prozess schafft Vertrauen und Sicherheit für den Online-Datenaustausch und ermöglicht so sichere Online-Kommunikation und -Transaktionen.

Die Verwaltung des DCV-Prozesses in einer Unternehmensumgebung mit Tausenden von digitalen Zertifikaten ist jedoch zeitaufwendig, arbeitsintensiv und fehleranfällig. Neben dem Kauf Ihrer SSL/TLS-Zertifikate bei einer renommierten Zertifizierungsstelle sollten Sie das Zertifikatslebenszyklus-Management mit einer robusten Plattform wie dem Sectigo Certificate Manager automatisieren, um Fehler und Verzögerungen im Validierungsprozess zu minimieren.

Kontaktieren Sie uns, um mehr zu erfahren.

Verwandte Beiträge:

Leitfaden für Zertifikatsignierungsanfragen (CSR)

Wildcard-SSL-Zertifikate

Sectigo Certificate Manager