Mai 24, 2022
CertCentral to issue GeoTrust and RapidSSL DV certificates from new intermediate CA certificates
On May 24, 2022, between 9:00 am and 11:00 am MDT (3:00 pm and 5:00 pm UTC), DigiCert will replace the GeoTrust and RapidSSL intermediate CA (ICA) certificates listed below. We can no longer issue maximum validity (397-day) DV certificates from these intermediates.
Old ICA certificates
- GeoTrust TLS DV RSA Mixed SHA256 2020 CA-1
- GeoTrust TLS DV RSA Mixed SHA256 2021 CA-1
- RapidSSL TLS DV RSA Mixed SHA256 2020 CA-1
- RapidSSL TLS DV RSA Mixed SHA256 2021 CA-1
New ICA certificates
- GeoTrust Global TLS RSA4096 SHA256 2022 CA1
- RapidSSL Global TLS RSA4096 SHA256 2022 CA1
See the DigiCert ICA Update KB article.
How does this affect me?
Rolling out new ICA certificates does not affect your existing DV certificates. Active certificates issued from the replaced ICA certificates will remain trusted until they expire.
However, all new certificates, including certificate reissues, will be issued from the new ICA certificates. To ensure ICA certificate replacements go unnoticed, always include the provided ICA certificate with every TLS certificate you install.
No action is required unless you do any of the following:
- Pin the old versions of the intermediate CA certificates
- Hard code the acceptance of the old versions of the intermediate CA certificates
- Operate a trust store that includes the old versions of the intermediate CA certificates
Action required
If you practice pinning, hard code acceptance, or operate a trust store, update your environment as soon as possible. You should stop pinning and hard coding ICA certificates or make the necessary changes to ensure your GeoTrust DV and RapidSSL DV certificates issued from the new ICA certificates are trusted. In other words, make sure they can chain up to their new ICA certificate and trusted root.
See the DigiCert Trusted Root Authority Certificates page to download copies of the new Intermediate CA certificates.
What if I need more time?
If you need more time to update your environment, you can continue to use the old 2020 ICA certificates until they expire. Contact DigiCert Support, and they can set that up for your account. However, after May 31, 2022, RapidSSL DV and GeoTrust DV certificates issued from the 2020 ICA certificates will be truncated to less than one year.
November 16, 2021
Industry changes to file-based DCV (HTTP Practical Demonstration, file auth, file, HTTP token, and HTTP auth)
To comply with new industry standards for the file-based domain control validation (DCV) method, you can only use the file-based DCV to demonstrate control over fully qualified domain names (FQDNs), exactly as named.
To learn more about the industry change, see Domain validation policy changes in 2021.
How does this affect me?
As of November 16, 2021, you must use one of the other supported DCV methods, such as Email, DNS TXT, and CNAME, to:
- Validate wildcard domains (*.example.com)
- To include subdomains in the domain validation when validating the higher-level domain. For example, if you want to cover www.example.com, when you validate the higher-level domain, example.com.
- Prevalidate entire domains and subdomains.
To learn more about the supported DCV method for DV, OV, and EV certificate requests:
CertCentral: Pending certificate requests and domain prevalidation using file-based DCV
Pending certificate request
If you have a pending certificate request with incomplete file-based DCV checks, you may need to switch DCV methods* or use the file-based DCV method to demonstrate control over every fully qualified domain name, exactly as named, on the request.
*Note: For certificate requests with incomplete file-based DCV checks for wildcard domains, you must use a different DCV method.
To learn more about the supported DCV methods for DV, OV, and EV certificate requests:
- Supported DCV methods for validating domains on certificate OV and EV certificate requests
- Supported DCV methods for validating the domains on DV SSL certificate orders
Domain prevalidation
If you plan to use the file-based DCV method to prevalidate an entire domain or entire subdomain, you must use a different DCV method.
To learn more about the supported DCV methods for domain prevalidation, see Supported domain control validation (DCV) methods for domain prevalidation.
CertCentral Services API
If you use the CertCentral Services API to order certificates or submit domains for prevalidation using file-based DCV (http-token), this change may affect your API integrations. To learn more, visit File-based domain control validation (http-token).
November 6, 2021
Upcoming Schedule Maintenance
DigiCert will perform scheduled maintenance on November 6, 2021, between 22:00 – 24:00 MDT (November 7, 2021, between 04:00 – 06:00 UTC).
CertCentral infrastructure-related maintenance downtime
We will start this infrastructure-related maintenance between 22:00 and 22:10 MDT (04:00 and 04:10 UTC). Then, for approximately 30 minutes, the following services will be down:
DV certificate issuance for CertCentral, ACME, and ACME agent automation
- DV certificate requests submitted during this time will fail
- APIs will return a "cannot connect" error
- Failed requests should be resubmitted after services are restored
CIS and SCEP
- Certificate Issuing Service (CIS) will be down
- Simple Certificate Enrollment Protocol (SCEP) will be down
- DigiCert will be unable to issue certificates for CIS and SCEP
- APIs will return a "cannot connect" error
- Requests that return "cannot connect" errors should be resubmitted after services are restore
QuoVadis TrustLink certificate issuance
- TrustLink certificate requests submitted during this time will fail
- However, failed requests will be added to a queue for processing later
- Queued-up requests will be processed after services are restored, as required
This maintenance only affects DV certificate issuance, CIS, SCEP, and TrustLink certificate issuance. It does not affect any other DigiCert platforms or services .
PKI Platform 8 maintenance
We will start the PKI Platform 8 maintenance at 22:00 MDT (04:00 UTC). Then, for approximately 30 minutes, the PKI Platform 8 will experience service delays and performance degradation that affect:
- Signing in and using your PKI Platform 8 to perform in-console certificate lifecycle tasks.
- Using any of your PKI Platform 8 corresponding APIs or protocols (for example, SOAP, REST, SCEP, and EST) to perform certificate lifecycle operations.
- Performing certificate lifecycle tasks/operations:
- Enrolling certificates: new, renew, or reissues
- Adding domains and organizations
- Submitting validation requests
- Viewing reports, revoking certificates, and creating profiles
- Adding users, viewing certificates, and downloading certificates
- Certificate issuance for PKI Platform 8 and its corresponding API.
Additionally:
- APIs will return a "cannot connect" error.
- Certificate enrollments that receive "cannot connect" errors must be resubmitted after DigiCert restores services.
The PKI Platform 8 maintenance only affects PKI Platform 8. It does not affect any other DigiCert platforms or services.
Plan accordingly:
- Schedule high-priority orders, renewals, and reissues before or after the maintenance window.
- Expect interruptions if you use the APIs for immediate certificate issuance and automated tasks.
- To get live maintenance updates, subscribe to the DigiCert Status page. This subscription includes email alerts for when maintenance begins and when it ends.
- For scheduled maintenance dates and times, see DigiCert 2021 scheduled maintenance.
Services will be restored as soon as we complete the maintenance.
März 12, 2021
CertCentral Services API: Auto-reissue support for Multi-year Plans
We are happy to announce that the CertCentral Services API now supports automatic certificate reissue requests (auto-reissue) for Multi-year Plans. The auto-reissue feature makes it easier to maintain SSL/TLS coverage on your Multi-year Plans.
You can enable auto-reissue for individual orders in your CertCentral account. When auto-reissue is enabled, we automatically create and submit a certificate reissue request 30 days before the most recently issued certificate on the order expires.
Enable auto-reissue for a new order
To give you control over the auto-reissue setting for new Multi-year Plans, we added a new request parameter to the endpoints for ordering DV, OV, and EV TLS/SSL certificates: auto_reissue.
By default, auto-reissue is disabled for all orders. To enable auto-reissue when you request a new Multi-year Plan, set the value of the auto_reissue parameter to 1 in the body of your request.
Example request body:
Note: In new order requests, we ignore the auto_reissue parameter if:
- The product does not support Multi-year Plans.
- Multi-year Plans are disabled for the account.
Update auto-reissue setting for existing orders
To give you control over the auto-reissue setting for existing Multi-year Plans, we added a new endpoint: Update auto-reissue settings. Use this endpoint to enable or disable the auto-reissue setting for an order.
Get auto-reissue setting for an existing order
To help you track the auto-reissue setting for existing certificate orders, we added a new response parameter to the Order info endpoint: auto_reissue. The auto_reissue parameter returns the current auto-reissue setting for the order.
ICA certificate chain selection for public DV flex certificates
We are happy to announce that select public DV certificates now support Intermediate CA certificate chain selection:
- GeoTrust DV SSL
- Thawte SSL 123 DV
- RapidSSL Standard DV
- RapidSSL Wildcard DV
- Encryption Everywhere DV
You can add a feature to your CertCentral account that enables you to control which DigiCert ICA certificate chain issues the end-entity certificate when you order these public DV products.
This feature allows you to:
- Set the default ICA certificate chain for each supported public DV certificate.
- Control which ICA certificate chains certificate requestors can use to issue their DV certificate.
Configure ICA certificate chain selection
To enable ICA selection for your account:
- Contact your account manager or our Support team.
- Then, in your CertCentral account, in the left main menu, go to Settings > Product Settings.
- On the Product Settings page, configure the default and allowed intermediates for each supported and available DV certificate.
For more information and step-by-step instructions, see the Configure the ICA certificate chain feature for your public TLS certificates.
DigiCert Services API: DV certificate support for ICA certificate chain selection
In the DigiCert Services API, we made the following updates to support ICA selection in your DV certificate order requests:
- Updated the Product list endpoint
After adding the ICA certificate selection chain feature to your account, the Product list endpoint returns each ICA certificate's name and ID available to issue end-entity certificates for the supported DV products (see allowed_ca_certs). - Updated the Product limits endpoint
After you configure the allowed and default ICA certificates for a DV product, the Product limits endpoint returns the default issuing ICA (default_intermediate) and allowed issuing ICAs (allowed_intermediates) that certificate requestor with a given container and user role assignment can select. - Updated the Product info endpoint
The Product list endpoint now returns the name, ID, and certificate chain information for the issuing ICAs you can select when you request a given product (see allowed_ca_certs). - Added support for ICA chain selection to these DV certificate order requests:
Pass in the issuing ICA certificate's ID as the value for the ca_cert_id parameter in your order request's body.
Example DV certificate request:
For more information about using ICA selection in your API integrations, see DV certificate lifecycle – Optional ICA selection.
Januar 25, 2021
CertCentral Services API: Verbesserter Endpunkt für Domänen-E-Mails
Um die Suche nach den DNS-TXT-E-Mail-Adressen zu erleichtern, die Validierungs-E-Mails von DigiCert für die E-Mail-basierte Validierung der Domänen-Kontrolle (DCV) erhalten, haben wir dem Endpunkt Domänen-E-Mails einen neuen Antwortparameter hinzugefügt: dns_txt_emails.
Der Parameter dns_txt_emails gibt eine Liste von E-Mail-Adressen zurück, die im DNS-TXT-Eintrag für die Domäne gefunden wurden. Dies sind die Mail-Adressen, die wir im DNS-TXT-Eintrag der Subdomäne _validation-contactemail der zu überprüfenden Domäne finden.
Beispielantwort mit dem neuen Parameter:
Um mehr über die neu unterstützte DCV-Methode E-Mail zu DNS-TXT-Kontakt zu erfahren:
Informationen zur Validierung der Domänen bei DV-Zertifikatsaufträgen:
Informationen zur Validierung der Domänen bei OV/EV-Zertifikatsaufträgen:
Januar 13, 2021
CertCentral: DCV-Methode E-Mail an DNS-TXT-Kontakt
Wir freuen uns, Ihnen mitteilen zu können, dass DigiCert jetzt das Senden einer E-Mail an einen DNS-TXT-Kontakt für die E-Mail-basierte Validierung der Domänen-Kontrolle (DCV) unterstützt. Dies bedeutet, dass Sie E-Mail-Adressen zum DNS TXT-Eintrag für Ihre Domäne hinzufügen können. DigiCert durchsucht automatisch die DNS TXT-Einträge und sendet die DCV-E-Mail an diese Adressen. Ein E-Mail-Empfänger muss die Anweisungen in der E-Mail befolgen, um die Kontrolle über die Domäne nachzuweisen.
Hinweis: Zuvor hat DigiCert DCV-E-Mails nur an WHOIS-basierte und konstruierte E-Mail-Adressen gesendet.
Änderungen in der Branche
Aufgrund von Datenschutzrichtlinien und anderen Einschränkungen werden Kontaktinformationen in WHOIS-Datensätzen immer unzugänglicher. Mit der Verabschiedung von Ballot SC13 fügte das Certificate Authority/Browser (CA/B)-Forum E-Mail an DNS TXT-Kontakt zur Liste der unterstützten DCV-Methoden hinzu.
E-Mail-Kontakte im DNS-TXT-Eintrag
Um die DCV-Methode E-Mail an DNS-TXT-Kontakt zu verwenden, müssen Sie den DNS-TXT-Eintrag auf der validation-contactemail-Subdomäne der zu validierenden Domäne platzieren. DigiCert durchsucht automatisch WHOIS- und DNS TXT-Einträge und sendet die DCV-E-Mail an die in diesen Einträgen gefundenen Adressen.
_validation-contactemail.example.com | Default | validatedomain@digicerttest.com
Der RDATA-Wert dieses Texteintrags muss eine gültige E-Mail-Adresse sein. Siehe Abschnitt B.2.1 DNS-TXT-Eintrag E-Mail-Kontakt im Anhang der Basisanforderungen.
Weitere Informationen zu Ballot SC13, dem CA/Browser-Forum und der DCV-Methode E-Mail an DNS-TXT-Kontakt finden Sie hier:
Oktober 22, 2020
CertCentral-Services-API: Aktualisierungen der Dokumentation
Wir haben der CertCentral Services API-Dokumentation für DV-Zertifikatsaufträge einen neuen Abfrageparameter hinzugefügt: use_auth_key. In Konten mit einem vorhandenen AuthKey können Sie mit diesem Parameter wählen, ob Sie Ihre DNS-Einträge auf ein AuthKey-Abfragetoken prüfen möchten, wenn Sie einen DV-Zertifikatsauftrag erteilen.
Wenn ein AuthKey für Ihr Konto existiert, müssen Sie standardmäßig ein AuthKey-Abfragetoken zu Ihren DNS-Einträgen hinzufügen, bevor Sie ein DV-Zertifikat bestellen. AuthKey-Abfragetoken ermöglichen die sofortige Ausstellung von Zertifikaten, wodurch die Zeit, die Sie für die Verwaltung des Zertifikatslebenszyklus aufwenden, verringert wird. Es kann jedoch vorkommen, dass Sie die Kontrolle über Domänen mithilfe einer E-Mail-Validierung oder eines von DigiCert generierten Tokens verifizieren müssen. In diesen Fällen können Sie mit dem Parameter use_auth_key die Prüfung auf ein AuthKey-Abfragetoken auf Auftragsebene deaktivieren, so dass Sie eine andere Methode zum Nachweis der Kontrolle über die Domäne verwenden können. Weitere Informationen zur Validierung der Domänen-Kontrolle (DCV) finden Sie unter Methoden der Validierung der Domänen-Kontrolle (DCV).
Um die AuthKey-Verifizierungsmethode für einen DV-Zertifikatsauftrag zu deaktivieren, fügen Sie den Parameter use_auth_key in die JSON-Nutzlast der Abfrage ein. Beispiel:
Die folgenden Endpunkte unterstützen den Parameter use_auth_key:
- Mehrjahresplan bestellen (für DV SSL-Zertifikate)
- GeoTrust DV-SSL bestellen
- DV-SSL bestellen
Informationen zur Verwendung eines AuthKey für die sofortige Ausstellung von DV-Zertifikaten finden Sie unter Sofortige Ausstellung eines DV-Zertifikats.
Hinweis: Der Parameter use_auth_key wird bei Anfragen für Encryption Everywhere DV-Zertifikate ignoriert. Alle Anforderungen für Encryption Everywhere DV-Zertifikate erfordern ein AuthKey-Abfragetoken für DCV-Prüfungen. Außerdem unterstützen die OV- und EV-SSL-Produkte den Anfrageparameter use_auth_key nicht.
Juni 3, 2020
CertCentral: Automatische DCV-Prüfungen – DCV-Polling
Wir freuen uns, Ihnen mitteilen zu können, dass wir den Prozess der Domänen-Kontroll-Validierung (DCV) verbessert und automatische Überprüfungen für die DCV-Methoden DNS TXT, DNS CNAME und HTTP-Praxisbeispiel (FileAuth) hinzugefügt haben.
Das heißt, sobald Sie die Datei fileauth.txt auf Ihrer Domäne platziert oder den Zufallswert zu Ihren DNS-TXT- oder DNS CNAME-Einträgen hinzugefügt haben, brauchen Sie sich nicht mehr bei CertCentral anzumelden, um die Prüfung selbst durchzuführen. Wir führen die DCV-Prüfung automatisch durch. Bei Bedarf können Sie jedoch eine manuelle Prüfung durchführen.
Kadenz für DCV-Polling
Nach dem Einreichen Ihres Auftrags für ein öffentliches SSL/TLS-Zertifikat, dem Einreichen einer Domäne zur Prävalidierung oder dem Ändern der DCV-Methode für eine Domäne beginnt das DCV-Polling sofort und läuft eine Woche lang.
- Intervall 1 – jede Minute in den ersten 15 Minuten
- Intervall 2 – alle fünf Minuten für eine Stunde
- Intervall 3 – alle fünfzehn Minuten für vier Stunden
- Intervall 4 – jede Stunde für einen Tag
- Intervall 5 – alle vier Stunden für eine Woche*
* Nach dem Intervall 5 wird die Prüfung beendet. Wenn Sie bis zum Ende der ersten Woche die Datei fileauth.txt nicht auf Ihrer Domäne platziert oder den Zufallswert nicht zu Ihren DNS TXT- oder DNS CNAME-Einträgen hinzugefügt haben, müssen Sie die Prüfung selbst durchführen.
Weitere Informationen zu den unterstützten DCV-Methoden finden Sie hier: