certbot-dns-netcup

certbot-dns-netcup是certbot的netcup DNS验证器插件，通过netcup CCP API（控制面板API）和lexicon库实现dns-01挑战的自动化。该插件可自动创建和删除DNS TXT记录，完成ACME协议的dns-01验证流程，用于为netcup托管的域名获取SSL/TLS证书。

核心功能与特性

• 自动化dns-01挑战：通过netcup CCP API自动创建和删除TXT记录
• 支持证书自动续期：与certbot集成，支持定期自动续期证书
• 可配置的DNS传播等待时间：允许设置DNS记录传播等待时间，适应netcup DNS的传播延迟
• 安全凭证管理：通过INI文件管理netcup API凭证，避免命令行暴露敏感信息

使用场景与适用范围

• 为netcup托管的域名获取SSL/TLS证书，尤其是通配符证书（需dns-01验证）
• 无法通过HTTP验证（如80端口不可用）的服务器环境
• 需要自动化证书管理的生产环境，减少手动操作

安装

bash
pip install certbot-dns-netcup

命名参数

使用netcup DNS验证时，需在certbot命令行中传递以下参数：

注意：netcup DNS记录传播可能较慢，建议设置较长等待时间（≥ 900秒）以确保记录生效。

凭证

使用插件需配置包含netcup API凭证的INI文件，凭证可从netcup账户页面获取。

凭证文件示例（credentials.ini）

ini
dns_netcup_customer_id  = ***
dns_netcup_api_key      = 0123456789abcdef0123456789abcdef01234567
dns_netcup_api_password = abcdef0123456789abcdef01234567abcdef0123

安全注意事项

• 凭证文件应设置严格权限（如chmod 600），限制访问
• 避免将凭证文件存储在公共目录
• Certbot会记录凭证文件路径用于续期，但不存储文件内容

警告：泄露API凭证可能导致***者操控您的DNS记录，获取或撤销您的证书。

使用示例

获取单域名和通配符证书

以下命令为example.com和*.example.com获取证书，等待900秒DNS传播：

bash
certbot certonly \
  --authenticator dns-netcup \
  --dns-netcup-credentials ~/.secrets/certbot/netcup.ini \
  --dns-netcup-propagation-seconds 900 \
  --keep-until-expiring --non-interactive --expand \
  --server [***] \
  -d 'example.com' \
  -d '*.example.com'

Docker部署

拉取镜像

bash
docker pull coldfix/certbot-dns-netcup

运行容器

bash
docker run --rm \
  -v /var/lib/letsencrypt:/var/lib/letsencrypt \
  -v /etc/letsencrypt:/etc/letsencrypt \
  --cap-drop=all \
  coldfix/certbot-dns-netcup certbot certonly \
    --authenticator dns-netcup \
    --dns-netcup-propagation-seconds 900 \
    --dns-netcup-credentials /var/lib/letsencrypt/netcup_credentials.ini \
    --keep-until-expiring --non-interactive --expand \
    --server [***] \
    --agree-tos --email "***" \
    -d example.com -d '*.example.com'

卷说明

• /var/lib/letsencrypt：存储证书和相关数据
• /etc/letsencrypt：存储Certbot配置

可替换为本地目录以持久化存储证书和配置。

旧选项命名方案

推荐使用certbot ≥ v1.7版本。若使用certbot < v1.7，外部插件相关选项需添加插件名前缀：

命令行参数变化

将所有dns-netcup前缀替换为certbot-dns-netcup:dns-netcup，例如：

bash
--authenticator certbot-dns-netcup:dns-netcup
--certbot-dns-netcup:dns-netcup-credentials
--certbot-dns-netcup:dns-netcup-propagation-seconds

凭证文件变化

配置文件中所有dns_netcup前缀需添加certbot_dns_netcup:，示例：

ini
certbot_dns_netcup:dns_netcup_customer_id  = ...
certbot_dns_netcup:dns_netcup_api_key      = ...
certbot_dns_netcup:dns_netcup_api_password = ...