ARI
Aus Wissen
Zur Navigation springenZur Suche springen
ACME Renewal Information (ARI)
Begriff
ARI steht für ACME Renewal Information und ist eine Erweiterung des ACME-Protokolls (Automatic Certificate Management Environment). Sie wurde entwickelt, um die Erneuerung von TLS-Zertifikaten besser zu steuern und dynamisch zu koordinieren.
Zweck
ARI ermöglicht es einer Zertifizierungsstelle (CA), dem ACME-Client mitzuteilen:
- Wann ein Zertifikat erneuert werden sollte
- Ob ein Zertifikat vorzeitig ersetzt werden muss (z. B. bei Widerruf)
- Welche Zertifikate durch neue ersetzt werden dürfen (Identifikator-Abgleich)
Technischer Hintergrund
ACME-Clients erneuern Zertifikate traditionell nach festen Regeln:
- Zeitgesteuert (z. B. via Cronjob)
- Kurz vor Ablaufdatum
- Nach einem festen Prozentsatz der Laufzeit
Diese Methoden führen zu:
- Lastspitzen bei der CA
- Unkoordinierten Erneuerungen
- Problemen bei Massenwiderrufen
ARI löst das, indem die CA dem Client direkt mitteilt:
- „Bitte erneuere zwischen Tag X und Y“
- „Dieses Zertifikat wird bald widerrufen – ersetze es jetzt“
- „Dieses neue Zertifikat ersetzt exakt das alte mit denselben Domains“
Einschränkungen
- ARI funktioniert nur, wenn die Domainliste des neuen Zertifikats exakt mit dem alten übereinstimmt.
- Bei geänderten Domains (z. B. Domain entfernt oder hinzugefügt) schlägt die Ersetzung fehl:
Failed to create order: Could not validate ARI 'replaces' field :: identifiers in this order do not match...
Anwendung in Win-ACME
- Win-ACME unterstützt ARI seit Version 2.2.9.1
- Bei Domainwechseln muss ARI deaktiviert oder ein neuer Auftrag erstellt werden
- Renewal-Einträge sollten bei Konflikten manuell entfernt werden
Standardisierung
- ARI wurde von Let’s Encrypt initiiert und in die IETF eingebracht
- Seit September 2025 als RFC 9773 veröffentlicht
→ [ACME Renewal Information – RFC 9773](https://www.rfc-editor.org/rfc/rfc9773.html)
Siehe auch
- Win-acme
- [ACME-Protokoll – Wikipedia](https://de.wikipedia.org/wiki/Automatic_Certificate_Management_Environment)
- [Let’s Encrypt Blog zur ARI-Veröffentlichung](https://letsencrypt.org/2025/09/16/ari-rfc)
