Sectigo (ACME)
Emissão automatizada de certificados DV via ACME com External Account Binding, integrada ao Sectigo Certificate Manager (SCM).
Requisitos
| Requisito | Detalhe |
|---|---|
| Conta SCM | Conta ativa no Sectigo Certificate Manager com conta ACME criada |
| Directory URL | https://acme.sectigo.com/v2/DV (padrão). Varia conforme o produto contratado — contas OV usam /v2/OV, contas enterprise usam enterprise.acme.sectigo.com |
| EAB | Obrigatório — Key ID e HMAC Key |
| Domínios delegados | Cada domínio precisa estar adicionado no SCM e delegado à conta ACME |
| Registro CAA | Se o domínio tiver CAA publicado, precisa incluir 0 issue "sectigo.com" |
Obter as credenciais no SCM
- Acesse o Sectigo Certificate Manager
- Vá em Manage → ACME Accounts e clique em Manage na conta desejada
- Copie os valores:
| Campo no SCM | Uso no CLM |
|---|---|
| Server | Directory URL (ACME) |
| Key ID | EAB Key ID |
| HMAC Key | EAB HMAC Key |
Key ID e HMAC Key aparecem na seção External Account Binding da mesma tela.
Diferente da Let's Encrypt, as credenciais ACME da Sectigo cobrem todos os domínios delegados à conta, não apenas um. Quem obtiver esse par pode emitir certificados ilimitados para qualquer um desses domínios. Trate-as com o mesmo cuidado de uma chave privada.
Conectar no CLM
- Acesse Integrations no menu lateral
- No card Sectigo (ACME), clique em Conectar
- Preencha o modal Register account:
| Campo | Descrição |
|---|---|
| Name | Identificador da conta no CLM, ex: Sectigo Production |
| Endereço de contato registrado junto à CA | |
| Directory URL (ACME) | Vem pré-preenchida com https://acme.sectigo.com/v2/DV. Clique no lápis para editar se sua conta usa outro endpoint |
| EAB Key ID | O Key ID copiado do SCM |
| EAB HMAC Key | A HMAC Key correspondente. Armazenada criptografada e nunca exibida novamente |
- Clique em Register
Após salvar, a conta fica aguardando registro. O CLM só registra a conta junto à Sectigo na primeira ordem de assinatura enviada — por isso credenciais incorretas de EAB só acusam erro na primeira emissão, não no cadastro.
Particularidades
Domínio precisa estar delegado. Não basta o domínio existir no SCM: ele precisa estar delegado à organização/departamento e, em seguida, à conta ACME específica. Um domínio cadastrado mas não delegado resulta em recusa na emissão, mesmo com a integração conectada.
Todos os SANs valem a regra. Cada domínio informado como Alternative Name precisa estar delegado, não apenas o Common Name.
O produto define o certificado. Tipo (DV, OV, EV) e validade seguem o produto vinculado à conta ACME no SCM, não os campos do CLM. Para emitir com parâmetros diferentes, crie outra conta ACME no SCM com o produto desejado e cadastre uma nova integração.
Editar
Clique no menu ⋮ do card e selecione Editar. É possível alterar nome, e-mail, Directory URL e substituir as credenciais EAB. A HMAC Key atual nunca é exibida — informar uma nova substitui a anterior.
Excluir
Clique no menu ⋮ do card e selecione Excluir. Desvincule os certificados ativos antes de remover a integração.
Próximo passo
Com a integração conectada, veja Emitir com Sectigo (ACME).