Com outra CA (ACME)
Emissão de certificados por uma CA compatível com ACME sem card dedicado no CLM.
Antes de começar
A integração Outra CA (ACME) precisa estar cadastrada — veja Integrações → Outra CA (ACME). O passo a passo completo do wizard está em Fluxo de emissão.
Requisitos
| Requisito | Detalhe |
|---|---|
| Integração cadastrada | Conta ACME registrada com a Directory URL do provedor |
| Credenciais EAB | Quando a CA exigir |
| Registro CAA | Se publicado, precisa autorizar a tag da CA escolhida |
| Chave | RSA — 2048, 3072 ou 4096 bits. Endpoints exclusivos para ECC não são compatíveis |
| Domínio autorizado | Algumas CAs só emitem para domínios pré-cadastrados no painel |
O que muda no Step 2
Em Certificate Authority, selecione Outra CA (ACME). O formulário exibe:
- ACME Account — selecione a conta registrada
- Validation Method — HTTP Challenge ou DNS Challenge
- DNS Auto-Validation (AWS Route 53) — disponível ao escolher DNS Challenge
Sua CA pode ter guia próprio
Google Trust Services (ACME), ZeroSSL (ACME) e SSL.com (ACME) também são cadastradas por este card genérico, mas têm guias dedicados com o passo a passo e as particularidades de cada uma.
Problemas comuns
| Erro | Causa provável |
|---|---|
| CAA rejeitado | Registro CAA não autoriza a tag da CA — ou o endpoint exige ECC |
| EAB rejeitado | Credencial inválida, já consumida ou vinculada a outra conta ACME |
| Domínio não autorizado | Domínio não cadastrado na conta da CA |
| Desafio HTTP-01 expirado | Porta 80 bloqueada ou redirecionando — use DNS Challenge |
Erros de CAA enganosos
Várias CAs retornam erro de CAA quando a causa real é outra — algoritmo incompatível, EAB consumido ou domínio não autorizado. Se o CAA estiver correto e a emissão continuar falhando, revise esses três pontos antes de investigar o DNS.