Obtenir un certificat « wildcard » par le DNS

Un certificat wildcard couvre tous les sous-domaines : *.ton-domaine.fr. Let's Encrypt ne le délivre qu'avec le challenge DNS-01 : tu prouves que tu contrôles le domaine en publiant un enregistrement TXT qu'il te donne.

Le principe

1. Ton client ACME (certbot, acme.sh, Caddy, Traefik…) demande un certificat pour *.ton-domaine.fr.
2. Let's Encrypt répond avec un jeton.
3. Le client publie :

   _acme-challenge.ton-domaine.fr.  TXT  "gfj9Xq…Rg85nM"
   

4. Let's Encrypt vérifie l'enregistrement et délivre le certificat.

Le certificat dure 90 jours : le renouvellement doit être automatique.

Avec une zone hébergée chez 6E616E69 Cloud

Le client doit pouvoir écrire le TXT tout seul, tous les deux mois. A_COMPLETER : mode proposé :

• délégation du challenge (recommandé) : un CNAME fixe de _acme-challenge.ton-domaine.fr vers une zone dédiée où ton client a le droit d'écrire ; ta zone principale n'est jamais modifiable par le client ;
• accès API limité à ta zone.

Pour un essai à la main

certbot certonly --manual --preferred-challenges dns -d '*.ton-domaine.fr' -d ton-domaine.fr

certbot affiche la valeur du TXT à publier ; attends qu'elle soit visible (dig TXT _acme-challenge.ton-domaine.fr +short) avant de continuer. Ce mode ne se renouvelle pas tout seul.

Autoriser Let's Encrypt explicitement (facultatif)

@   CAA   0 issue "letsencrypt.org"
@   CAA   0 issuewild "letsencrypt.org"

Avec ces enregistrements, seules les autorités listées peuvent émettre un certificat pour ton domaine.