Was ist eine DNS-Validierung?

Die DNS-Validierung ist ein Verfahren, mit dem die Zertifizierungsstelle (CA) prüft, ob der Antragsteller die Kontrolle über eine Domain hat. Dafür wird ein von der CA vorgegebener Wert als TXT- oder CNAME-Record im DNS der Domain hinterlegt und anschließend per DNS-Abfrage verifiziert.

Das Verfahren ist im CA/Browser-Forum unter Method 3.2.2.4.7 (DNS Change) standardisiert und wird von allen öffentlich vertrauten CAs unterstützt. DNS ist neben E-Mail und HTTP eine der drei zulässigen Methoden der Domain-Validierung.

Der Ablauf in vier Schritten:

1. Die CA generiert einen eindeutigen Validierungs-Token, beispielsweise 4f8c2e9a-7b1d-...
2. Der Antragsteller legt den Token als TXT-Record unter _acme-challenge.meine-domain.de oder als CNAME-Record an einer von der CA vorgegebenen Stelle ab.
3. Die CA löst den DNS-Eintrag auf — meist über mehrere Resolver weltweit — und vergleicht den Wert.
4. Stimmt der Wert überein, gilt die Domain als validiert. Der Eintrag kann anschließend wieder entfernt werden.

Ein typischer TXT-Record sieht so aus:

_acme-challenge.meine-domain.de. IN TXT "4f8c2e9a-7b1d-43e0-9c2a-..."

Die DNS-Validierung hat gegenüber E-Mail- und HTTP-Validierung mehrere praktische Vorteile:

Vorteil	Erklärung
Funktioniert ohne erreichbaren Webserver	Ideal für neue Domains, Migrationen oder interne Server, die noch nicht öffentlich laufen.
Verpflichtend für Wildcard-Zertifikate	Für ein Wildcard-Zertifikat wie *.meine-domain.de ist DNS-Validierung die einzig zulässige Methode — E-Mail und HTTP sind hier nicht erlaubt.
Vollständig automatisierbar	Über die DNS-APIs gängiger Provider lässt sich das gesamte Verfahren skripten — Standard bei ACME-Clients.
Unabhängig von E-Mail-Adressen	Keine Abhängigkeit von admin@, webmaster@ oder dem WHOIS-Kontakt — gerade bei Domains mit aktivem WHOIS-Schutz hilfreich.
Granulare Delegation möglich	Per CNAME lässt sich die Validierung an einen separaten DNS-Bereich delegieren — nützlich für Teams, die nur Teilrechte am DNS haben.

Es gibt auch Einschränkungen, die in der Praxis Zeit kosten können:

• DNS-Propagation: Bis ein neuer TXT-Record weltweit verfügbar ist, vergehen je nach TTL und Provider wenige Minuten bis mehrere Stunden. Setzen Sie die TTL niedrig (z.B. 60 Sekunden), wenn Sie zeitnah validieren wollen.
• DNSSEC-Konfiguration: Falsch konfiguriertes DNSSEC kann dazu führen, dass die CA den Record nicht auflöst und die Validierung fehlschlägt.
• Mehrere CAs: Wenn Sie Zertifikate von verschiedenen CAs nutzen, kann eine CAA-Record-Einstellung im DNS festlegen, welche CAs überhaupt ausstellen dürfen — sonst wird auch eine korrekte DNS-Validierung abgewiesen.
• Wiederverwendung: Seit September 2025 dürfen CAs eine erfolgreiche DNS-Validierung maximal 47 Tage wiederverwenden. Bei häufigen Re-Issues fällt die Prüfung also regelmäßig erneut an.

Für produktive Setups mit kurzen Zertifikatslaufzeiten ist die DNS-Validierung in Kombination mit einem ACME-Client und einer DNS-API in der Regel die robusteste und am wenigsten fehleranfällige Methode.