Outra CA (ACME)
Registre uma conta em qualquer CA compatível com ACME informando a Directory URL própria do provedor. Use este card quando a CA não tiver integração dedicada no CLM.
Let's Encrypt, Sectigo (ACME), DigiCert (ACME) e GlobalSign (ACME) têm card dedicado no CLM. Google Trust Services (ACME), ZeroSSL (ACME) e SSL.com (ACME) são cadastradas por este card genérico, mas têm guias próprios com o passo a passo e as particularidades de cada uma.
O que é ACME?
ACME (Automatic Certificate Management Environment, RFC 8555) é um protocolo padrão para emissão, validação e renovação automatizada de certificados SSL/TLS, sem intervenção manual.
Uma integração ACME depende de três elementos:
- Directory URL — endpoint que expõe as operações ACME da CA
- EAB (External Account Binding) — quando exigido, vincula a conta ACME criada pelo CLM a uma conta existente no provedor. É um par
Key ID+HMAC Key - Desafio de validação — HTTP-01 ou DNS-01, para comprovar controle sobre o domínio
Conectar no CLM
- Acesse Integrations no menu lateral
- No card Outra CA (ACME), clique em Conectar
- Preencha o modal Register account:
| Campo | Descrição |
|---|---|
| Name | Identificador da conta no CLM |
| Endereço de contato registrado junto à CA | |
| Directory URL (ACME) | Endpoint da CA. O CLM valida a URL enquanto você digita — a mensagem Checking the ACME directory indica a verificação em andamento |
| EAB Key ID | Quando a CA exigir |
| EAB HMAC Key | Quando a CA exigir. Armazenada criptografada e nunca exibida novamente |
- Clique em Register
Após salvar, a conta fica aguardando registro. O CLM valida a Directory URL no cadastro, mas só registra a conta junto à CA na primeira ordem de assinatura — credenciais de EAB incorretas só acusam erro nesse momento.
Antes de conectar uma CA não listada
Confirme na documentação do provedor:
- A CA exige EAB? Algumas aceitam registro aberto, outras exigem vínculo com conta existente
- Qual algoritmo o endpoint aceita? O CLM gera CSRs com chave RSA (2048, 3072 ou 4096 bits). Endpoints exclusivos para ECC não são compatíveis
- Qual tag CAA a CA usa? Se o domínio tiver CAA publicado, precisa autorizar a CA escolhida
- Há restrição de domínio na conta? Algumas CAs só emitem para domínios pré-cadastrados no painel
Várias CAs retornam erro de CAA quando a causa real é outra — algoritmo incompatível com o endpoint, EAB já consumido ou domínio não autorizado na conta. Se o registro CAA estiver correto e a emissão continuar falhando, revise esses três pontos antes de investigar o DNS.
Editar
Clique no menu ⋮ do card e selecione Editar. É possível alterar nome, e-mail, Directory URL e substituir as credenciais EAB.
Excluir
Clique no menu ⋮ do card e selecione Excluir. Desvincule os certificados ativos antes de remover a integração.
Próximo passo
Com a integração conectada, veja Emitir com outra CA (ACME).