FAQ - TLSA Wechsel (Rollover)
Bei einem Wechsel des TLSA-Records ist folgendermaßen vorzugehen:
- Tragen Sie den neuen TLSA-Record in die Zone ein.
- Warten Sie bis die TTL des vorherigen TLSA-Records einmal durchgelaufen ist. Somit wird sichergestellt, dass auf allen Clients zusätzlich auch der neue TLSA-Record vorhanden ist.
- Aktivieren Sie nun auf allen Servern das neue Zertifikat. Da aktuell das alte sowie das neue Zertifikat durch TLSA-Records als gültig erklärt wird ist hier keine Eile notwendig.
- Entfernen Sie den alten TLSA-Record.
Tipp
Wenn Sie Ihr Zertifikat für mehrere Hostnamen nutzen, ist es oft nützlich anstelle von separaten TLSA-Records für jeden Hostnamen CNAME-Records einzusetzen. Bei einem Zertifikatswechsel müssen Sie den oben aufgeführten Schritte dann nur beim Ziel der CNAME-Records durchführen und nicht für jeden einzelnen Hostnamen.
Beispiel:
_443._tcp 3600 IN TLSA 3 0 1 ABCDEF0123.... _443._tcp.www 86400 IN CNAME _443._tcp