❌

Lese-Ansicht

↗️

Neue Hetzner DNS API und acme.sh

✇Koflers Blog
Von: Michael Kofler

Wenn Sie Ihre Domains bei Hetzner verwalten, wurden Sie in den vergangenen Monaten dazu aufgefordert, die Domains in ein neues DNS-Verwaltungstool zu migrieren. Das gelingt zumeist problemlos (zumindest in meinen Fällen).

Allerdings hat Hetzner nun auch die alte API zur DNS-Administration ausgeschaltet. Falls Sie bei der Ausstellung von Let’s-Encrypt-Zertifikate die alte DNS-API verwendet haben, scheitert die Erneuerung der Zertifikate mit unspezifischen Fehlern (invalid domain).

Ich verwende zur Zertifikatsausstellung normalerweise acme.sh und bin auf das Problem erst aufmerksam geworden, als das erste Zertifikat auf einem meiner Server abgelaufen ist. (Ein ordentliches Monitoring hätte dieses Hoppala natürlich verhindert. Es war nicht die wichtigste Domain …)

Ich habe keinen Weg gefunden, den Zertifiktaserneuerungsmechanismus von acme.sh irgendwie zu aktualisieren, also gewissermaßen die vorhandene Konfiguration auf die neue API zu migrieren. Die Lösung bestand darin, in der Hetzner-Console einen neuen API-Key einzurichten und dann mit acme.sh die Zertifikate neu auszustellen. Falls Sie viele Server administrieren, ist das, gelinde formuliert, unbequem …

Hinweis: Sie sind von diesem Problem NICHT betroffen, wenn die Domain-Validierung mit anderen Verfahren erfolgt, z.B. durch das Ablegen einer Datei in /var/www/html. Dieser Blog-Artikel bezieht sich explizit auf den Zertifikatserneuerungsprozess, wenn Sie bisher die alte Hetzner-DNS-API in Kombination mit acme.sh verwendet haben!

API-Key

Zuerst brauchen Sie einen neuen API-Key. Den erstellen Sie in der Hetzner-Konsole unter Security / API-Tokens. Der Token muss read/write sein, weil acme.sh für die Validierung Ihrer Domain vorübergehend eine zusätzlichen DNS-Eintrag hinzufügt. Den vollständigen Token-Code können Sie nur einmal ansehen/kopieren. Hetzner bietet aktuell keine Möglichkeit, die Gültigkeit des Keys irgendwie einzuschränken.

Ein RW-Key vermittelt damit weit mehr Rechte, als zur DNS-Administration erforderlich wären. Das ist mir ein wenig unheimlich, aber aktuell nicht zu ändern.

Neuen Hetzner-API-Key einrichten

acme.sh aktualisieren, Zertifikate neu erstellen und einrichten

acme.sh muss das Verfahren Hetzner Cloud DNS API unterstützen. Dieses ist verhältnismäßig neu. Eventuell müssen Sie Ihre vorhandene acme.sh-Installation aktualisieren:

acme.sh --upgrade

Mit acme.sh --list gewinnen Sie einen Überblick, welche Zertifikate es auf dem Server gibt (Output verkürzt):

acme.sh --list

  Main_Domain         SAN_Domains              CA               Created     Renew
  eine-firma.de       www.eine-firma.de        LetsEncrypt.org  2026-05-12  2026-07-11
  mail.eine-firma.de  smtp.eine-firma.de,...   LetsEncrypt.org  2026-05-12  2026-07-11

Jetzt speichern Sie das Token in einer Umgebungsvariablen und wiederholen die Kommandos zur Zertifikatsausstellung sowie zum Kopieren der Zertifikate an den Zielort, wobei Sie die bisherige acme.sh-Option --dns dns-hetzner durch --dns dns-hetznercloud ersetzen.

Die folgenden Beispielkommandos zeigen die Neuausstellung der Zertifikate und deren Deployment. Sofern Sie exakt die gleichen Namen/Pfade wie bei der ursprünglichen Zertifikatsausstellung verwenden, sollte danach alles wieder funktionieren (d.h. der Webserver verwendet die neuen Zertifikate).

export HETZNER_Token='oqCF...'

# wichtig ist die geänderte Option --dns dns_hetznercloud
acme.sh --issue --dns dns_hetznercloud --server letsencrypt \
  -d eine-firma.de -d www.eine-firma.de

# Zertifikate in /etc/letsencrypt speichern (setzt voraus, dass
# Apache so konfiguriert ist, dass das Programm die Zertifikate
# von dort liest)
acme.sh --install-cert -d eine-firma.de \
        --cert-file      /etc/letsencrypt/eine-firma.de.cert \
        --key-file       /etc/letsencrypt/eine-firma.de.key \
        --fullchain-file /etc/letsencrypt/eine-firma.de.fullchain \
        --reloadcmd 'systemctl restart apache2'

Sie müssen die Kommandos natürlich an Ihre Gegebenheiten anpassen.

Quellen/Links

  •  
  • ↗️
↗️

20 Jahre Open Document Format

✇GNU/Linux.ch
Von: Ralf Hersel

Der Dateistandard ODF ist herstellerneutral und kann unter einer freien Lizenz genutzt werden. In Bezug auf digitale Souveränität gibt es viele Argumente, die für das Format sprechen. Allerdings wird auch Kritik daran geäussert.

  •  
  • ↗️
↗️

Dell und Lenovo stärken LVFS und senden klares Signal an die Branche

✇MichlFranken
Von: MK

Der Linux Vendor Firmware Service (LVFS) erhält neuen Rückenwind. Dell und Lenovo unterstützen das Projekt nun als Hauptsponsoren und verleihen der Plattform damit mehr Gewicht in der PC Welt. LVFS bildet zusammen mit fwupd die zentrale Infrastruktur für Firmware Updates unter Linux und wird vor allem in Unternehmen immer wichtiger. Die Entscheidung kommt zu einem […]

Der Beitrag Dell und Lenovo stärken LVFS und senden klares Signal an die Branche erschien zuerst auf fosstopia.

  •  
  • ↗️
↗️

Debian verschärft Regeln und stoppt nicht reproduzierbare Pakete

✇MichlFranken
Von: MK

Debian zieht die Schrauben an. Ab sofort dürfen Pakete ohne reproduzierbare Builds nicht mehr in den Testing Zweig wandern. Diese Entscheidung markiert einen wichtigen Schritt für Debians Lieferketten Sicherheit und prägt den Entwicklungszyklus von Debian 14 Forky. Reproduzierbare Builds bedeuten identische Ergebnisse aus identischem Quellcode. Debian nutzt dafür die Infrastruktur von reproduce.debian.net, die Pakete erneut […]

Der Beitrag Debian verschärft Regeln und stoppt nicht reproduzierbare Pakete erschien zuerst auf fosstopia.

  •  
  • ↗️
↗️

RustDesk führt Anmeldepflicht ein

✇Linuxnews.de
Von: Ferdinand

Missbrauch durch Botnetze und andere Widrigkeiten sorgen beim öffentlichen RustDesk-Server ab sofort für eine Anmeldepflicht vor dem Verbindungsaufbau, die derzeit noch auf das steuernde Gerät beschränkt ist.

  •  
  • ↗️
↗️

Fedora plant AI Developer Desktop

✇Linuxnews.de
Von: Ferdinand

Der unaufhaltsame Aufstieg von KI in der Software-Entwicklung hat die führenden Linux-Distributionen in eine schwierige Lage gebracht. Ubuntu und Fedora haben sich kürzlich klar für KI entschieden.

  •  
  • ↗️
↗️

Killswitch Idee sorgt für Diskussion im Linux Kernel

✇MichlFranken
Von: MK

Ein neues Sicherheitskonzept bewegt die Linux Gemeinschaft. Entwickler prüfen einen Vorschlag für einen Kernel Killswitch, der riskante Funktionen nach einer CVE Meldung sofort abschalten kann. Der Ansatz entsteht nach zwei frischen Schwachstellen, die zuletzt für viel Unruhe sorgten. Der Patch stammt von Sasha Levin. Er arbeitet bei NVIDIA und betreut den stabilen Kernel. Sein Vorschlag […]

Der Beitrag Killswitch Idee sorgt für Diskussion im Linux Kernel erschien zuerst auf fosstopia.

  •  
  • ↗️
↗️

Debian macht Reproducible Builds verbindlich

✇Linuxnews.de
Von: Ferdinand

Das Projekt 'Reproducible Builds' reicht mehr als zehn Jahre zurück. Das Ziel ist, Pakete reproduzierbar Bit für Bit aus dem zugrundeliegenden Quellcode bauen zu können. Debian macht Reproduzierbarkeit. jetzt als erste Distribution verbindlich.

  •  
  • ↗️
↗️

Ubuntu Touch erhält frisches Update und bereitet großen Browser Sprung vor

✇MichlFranken
Von: MK

UBports hat Ubuntu Touch 24.04-1.3 veröffentlicht und liefert damit eine Reihe wichtiger Verbesserungen. Die neue Version kümmert sich um Probleme mit Desktop Apps, Docking Zubehör, MMS Sprachnachrichten und mehreren Anzeige Fehlern. Nutzer berichten von spürbar stabilerem Verhalten im Alltag. Ein Schwerpunkt liegt auf klassischen Desktop Anwendungen. X11 Programme starten nun auch außerhalb von Lomiri und […]

Der Beitrag Ubuntu Touch erhält frisches Update und bereitet großen Browser Sprung vor erschien zuerst auf fosstopia.

  •  
  • ↗️
❌