CertCentral to issue GeoTrust and RapidSSL DV certificates from new intermediate CA certificates
On May 24, 2022, between 9:00 am and 11:00 am MDT (3:00 pm and 5:00 pm UTC), DigiCert will replace the GeoTrust and RapidSSL intermediate CA (ICA) certificates listed below. We can no longer issue maximum validity (397-day) DV certificates from these intermediates.
Old ICA certificates
New ICA certificates
See the DigiCert ICA Update KB article.
How does this affect me?
Rolling out new ICA certificates does not affect your existing DV certificates. Active certificates issued from the replaced ICA certificates will remain trusted until they expire.
However, all new certificates, including certificate reissues, will be issued from the new ICA certificates. To ensure ICA certificate replacements go unnoticed, always include the provided ICA certificate with every TLS certificate you install.
No action is required unless you do any of the following:
Action required
If you practice pinning, hard code acceptance, or operate a trust store, update your environment as soon as possible. You should stop pinning and hard coding ICA certificates or make the necessary changes to ensure your GeoTrust DV and RapidSSL DV certificates issued from the new ICA certificates are trusted. In other words, make sure they can chain up to their new ICA certificate and trusted root.
See the DigiCert Trusted Root Authority Certificates page to download copies of the new Intermediate CA certificates.
What if I need more time?
If you need more time to update your environment, you can continue to use the old 2020 ICA certificates until they expire. Contact DigiCert Support, and they can set that up for your account. However, after May 31, 2022, RapidSSL DV and GeoTrust DV certificates issued from the 2020 ICA certificates will be truncated to less than one year.
Industry changes to file-based DCV (HTTP Practical Demonstration, file auth, file, HTTP token, and HTTP auth)
To comply with new industry standards for the file-based domain control validation (DCV) method, you can only use the file-based DCV to demonstrate control over fully qualified domain names (FQDNs), exactly as named.
To learn more about the industry change, see Domain validation policy changes in 2021.
How does this affect me?
As of November 16, 2021, you must use one of the other supported DCV methods, such as Email, DNS TXT, and CNAME, to:
To learn more about the supported DCV method for DV, OV, and EV certificate requests:
CertCentral: Pending certificate requests and domain prevalidation using file-based DCV
Pending certificate request
If you have a pending certificate request with incomplete file-based DCV checks, you may need to switch DCV methods* or use the file-based DCV method to demonstrate control over every fully qualified domain name, exactly as named, on the request.
*Note: For certificate requests with incomplete file-based DCV checks for wildcard domains, you must use a different DCV method.
To learn more about the supported DCV methods for DV, OV, and EV certificate requests:
Domain prevalidation
If you plan to use the file-based DCV method to prevalidate an entire domain or entire subdomain, you must use a different DCV method.
To learn more about the supported DCV methods for domain prevalidation, see Supported domain control validation (DCV) methods for domain prevalidation.
CertCentral Services API
If you use the CertCentral Services API to order certificates or submit domains for prevalidation using file-based DCV (http-token), this change may affect your API integrations. To learn more, visit File-based domain control validation (http-token).
Upcoming Schedule Maintenance
DigiCert will perform scheduled maintenance on November 6, 2021, between 22:00 – 24:00 MDT (November 7, 2021, between 04:00 – 06:00 UTC).
CertCentral infrastructure-related maintenance downtime
We will start this infrastructure-related maintenance between 22:00 and 22:10 MDT (04:00 and 04:10 UTC). Then, for approximately 30 minutes, the following services will be down:
DV certificate issuance for CertCentral, ACME, and ACME agent automation
CIS and SCEP
QuoVadis TrustLink certificate issuance
This maintenance only affects DV certificate issuance, CIS, SCEP, and TrustLink certificate issuance. It does not affect any other DigiCert platforms or services .
PKI Platform 8 maintenance
We will start the PKI Platform 8 maintenance at 22:00 MDT (04:00 UTC). Then, for approximately 30 minutes, the PKI Platform 8 will experience service delays and performance degradation that affect:
Additionally:
The PKI Platform 8 maintenance only affects PKI Platform 8. It does not affect any other DigiCert platforms or services.
Plan accordingly:
Services will be restored as soon as we complete the maintenance.
CertCentral Services API: Auto-reissue support for Multi-year Plans
We are happy to announce that the CertCentral Services API now supports automatic certificate reissue requests (auto-reissue) for Multi-year Plans. The auto-reissue feature makes it easier to maintain SSL/TLS coverage on your Multi-year Plans.
You can enable auto-reissue for individual orders in your CertCentral account. When auto-reissue is enabled, we automatically create and submit a certificate reissue request 30 days before the most recently issued certificate on the order expires.
Enable auto-reissue for a new order
To give you control over the auto-reissue setting for new Multi-year Plans, we added a new request parameter to the endpoints for ordering DV, OV, and EV TLS/SSL certificates: auto_reissue
.
By default, auto-reissue is disabled for all orders. To enable auto-reissue when you request a new Multi-year Plan, set the value of the auto_reissue
parameter to 1
in the body of your request.
Example request body:
Note: In new order requests, we ignore the auto_reissue
parameter if:
Update auto-reissue setting for existing orders
To give you control over the auto-reissue setting for existing Multi-year Plans, we added a new endpoint: Update auto-reissue settings. Use this endpoint to enable or disable the auto-reissue setting for an order.
Get auto-reissue setting for an existing order
To help you track the auto-reissue setting for existing certificate orders, we added a new response parameter to the Order info endpoint: auto_reissue
. The auto_reissue
parameter returns the current auto-reissue setting for the order.
ICA certificate chain selection for public DV flex certificates
We are happy to announce that select public DV certificates now support Intermediate CA certificate chain selection:
You can add a feature to your CertCentral account that enables you to control which DigiCert ICA certificate chain issues the end-entity certificate when you order these public DV products.
This feature allows you to:
Configure ICA certificate chain selection
To enable ICA selection for your account:
For more information and step-by-step instructions, see the Configure the ICA certificate chain feature for your public TLS certificates.
DigiCert Services API: DV certificate support for ICA certificate chain selection
In the DigiCert Services API, we made the following updates to support ICA selection in your DV certificate order requests:
Pass in the issuing ICA certificate's ID as the value for the ca_cert_id parameter in your order request's body.
Example DV certificate request:
For more information about using ICA selection in your API integrations, see DV certificate lifecycle – Optional ICA selection.
CertCentral Services API: Улучшена конечная точка «Доменные адреса эл. почты»
Чтобы упростить поиск адресов электронной почты DNS TXT, на которые рассылаются электронные сообщения от DigiCert для подтверждения полномочия управления доменом (DCV) в качестве метода DCV с использованием электронных сообщений, мы добавили новый параметр ответа в конечную точку Доменные адреса эл. почты: dns_txt_emails
.
Параметр dns_txt_emails
отображает список адресов электронной почты, найденных в записи DNS TXT домена. Это адреса электронной почты, которые мы находим в записи DNS TXT на субдомене _validation-contactemail
проверяемого домена.
Пример ответа с новым параметром:
Для ознакомления с более подробной информацией о поддержке метода DCV «Электронное сообщение контактному лицу DNS TXT»:
Для ознакомления с дополнительной информацией о подтверждении полномочий управления доменами, указанными в заказе на сертификат DV:
Для ознакомления с дополнительной информацией о подтверждении полномочий управления доменом в заказах на сертификат OV/EV:
CertCentral: Электронное сообщение контактному лицу DNS TXT в качестве метода DCV
Мы рады сообщить, что теперь DigiCert поддерживает отправку электронного письма контактному лицу DNS TXT для подтверждения полномочия управления доменом (DCV) с использованием электронных сообщений. Это означает, что вы можете добавлять адреса электронной почты в запись DNS TXT для своего домена. DigiCert автоматически выполняет поиск записей DNS TXT и отправляет электронное сообщение DCV на эти адреса. Чтобы подтвердить полномочие управления доменом, получателю письма необходимо следовать указаниям, содержащимся в письме.
Примечание: Ранее DigiCert отправляла электронные сообщения DCV только на адреса электронной почты на базе службы WHOIS и на сконструированные адреса электронной почты.
Отраслевые изменения
Контактная информация становится все более недоступной в записях WHOIS из-за политики конфиденциальности и прочих ограничений. После принятия Бюллетеня SC13 форум Certificate Authority/Browser (CA/B) добавил в список поддерживаемых методов DCV метод «Электронное сообщение контактному лицу DNS TXT».
Электронные адреса записи DNS TXT
Для использования метода Электронное сообщение контактному лицу DNS TXT в качестве метода DCV необходимо поместить запись DNS TXT в субдомен _validation-contactemail домена, подлинность которого необходимо проверить. DigiCert автоматически выполняет поиск записей WHOIS и DNS TXT и отправляет электронное сообщение DCV на адреса, обнаруженные в этих записях.
_validation-contactemail.example.com | Default | validatedomain@digicerttest.com
Значение RDATA данной текстовой записи должно быть действительным адресом электронной почты. См. раздел B.2.1 Электронные адреса записи DNS TXT в Приложении основных требований.
Для ознакомления с дополнительной информацией о Бюллетене SC13, форуме CA/Browser и методе DCV «Электронное сообщение контактному лицу DNS TXT»:
CertCentral Services API: Обновления документации
Мы добавили новый параметр запроса в документацию CertCentral Services API для заказов на сертификаты DV: use_auth_key
. В учетных записях с существующим AuthKey этот параметр позволяет задать, следует ли проверять записи DNS на наличие токена запроса AuthKey при размещении заказа на сертификат DV.
По умолчанию, если для вашей учётная запись существует AuthKey, вы должны добавить токен запроса AuthKey в записи DNS перед размещением заказа на сертификат DV. Токены запроса AuthKey позволяют немедленно выпустить сертификат, сокращая при этом время, которое вы тратите на управление жизненным циклом сертификата. Тем не менее, могут возникнуть ситуации, когда необходимо подтвердить полномочия управления доменами с помощью метода проверки с использованием электронных сообщений или сгенерированного токена DigiCert. В этих случаях параметр use_auth_key
позволяет отключить проверку наличия токена запроса AuthKey на уровне заказа, чтобы можно было использовать другой метод подтверждения полномочия управления доменом. Для ознакомления с дополнительной информацией о подтверждении полномочия управления доменом (DCV) см. раздел Методы подтверждения полномочий управления доменом (DCV).
Чтобы отключить метод проверки AuthKey для заказа на сертификат DV, включите параметр use_auth_key
в полезные данные JSON запроса. Пример:
Следующие конечные точки поддерживают параметр use_auth_key
:
Для ознакомления с дополнительной информацией об использовании AuthKey для немедленного выпуска сертификата DV см. раздел Немедленный выпуск сертификата DV.
Примечание: Параметр use_auth_key
игнорируется в запросах на шифрование сертификатов DV Encryption Everywhere. Для всех запросов на сертификаты DV Encryption Everywhere требуется токен запроса AuthKey для DCV. Кроме того, продукты OV и EV SSL не поддерживают параметр запроса use_auth_key
.
CertCentral: Автоматические проверки DCV – DCV-опрос
Мы рады сообщить о том, что мы улучшили процесс подтверждение полномочия управления доменом (DCV) и добавили автоматические проверки для методов DCV DNS TXT, DNS CNAME и практической демонстрации HTTP (FileAuth).
Это означает, что после того, как вы разместите файл fileauth.txt на вашем домене или добавили случайное значение к своим записям DNS TXT или DNS CNAME, вам не нужно будет беспокоиться об авторизации в системе CertCentral для проведения самостоятельной проверки. Мы запустим проверку DCV автоматически. Хотя, при необходимости, вы можете провести проверку вручную.
Периодичность DCV-опроса
После отправки вашего заказа на открытый сертификат SSL/TLS, предоставления информации о домене для его предварительной проверки или изменения метода DCV для домена DCV-опрос запускается немедленно и выполняется в течение одной недели.
*После 5-го интервала мы перестаем проверять. Если вы не разместили файл fileauth.txt на вашем домене или не добавили случайное значение к своим записям DNS TXT или DNS CNAME до конца первой недели, вам необходимо будет выполнить проверку самостоятельно.
Дополнительная информация о поддерживаемых методах DCV: