Pular para o conteúdo principal

SSL.com (ACME)

Emissão automatizada de certificados DV via ACME com External Account Binding, integrada ao portal SSL.com.

Requisitos​

RequisitoDetalhe
Conta SSL.comConta ativa em ssl.com (o plano standard gratuito atende)
Directory URLhttps://acme.ssl.com/sslcom-dv-rsa (RSA) ou https://acme.ssl.com/sslcom-dv-ecc (ECC)
EABObrigatório — Account/ACME Key e HMAC Key
Registro CAAObrigatório, mesmo que o domínio não tenha CAA hoje. Precisa incluir 0 issue "ssl.com"
A SSL.com exige CAA explícito

Esta é a particularidade mais importante desta integração. Pelo padrão do CA/Browser Forum, um domínio sem registro CAA autoriza qualquer CA a emitir — é assim que Let's Encrypt, Sectigo, DigiCert, Google e ZeroSSL funcionam sem configuração adicional.

A SSL.com adota postura mais restritiva: exige autorização explícita e recusa a emissão mesmo quando o domínio não tem nenhum registro CAA publicado. Configure o CAA antes de tentar emitir.

Obter as credenciais no SSL.com​

  1. Faça login no portal SSL.com
  2. No Dashboard, localize a seção developers and integration
  3. Clique em api credentials
  4. Copie os dois valores exibidos (cada um tem um ícone de prancheta para copiar):
Campo no SSL.comUso no CLM
Account / ACME KeyEAB Key ID
HMAC KeyEAB HMAC Key

Como alternativa, o link issue via ACME, na seção billing and purchase, leva ao mesmo fluxo com as credenciais em contexto.

Credenciais também enviadas por e-mail

Se não existir conta SSL.com para o e-mail utilizado em um fluxo ACME, uma conta é criada automaticamente e as credenciais EAB são enviadas por e-mail. Verifique a caixa de entrada caso não encontre os valores no painel.

Verifique o saldo da conta antes de emitir​

No Dashboard, na seção billing and purchase, confira o campo available funds.

SaldoResultado da emissão
$0.00Certificado gratuito de 90 dias
Maior que zeroCertificado pago de 1 ano, debitado do saldo
Saldo em conta gera cobrança automática

Se houver saldo disponível na conta SSL.com, a emissão via ACME consome esse saldo emitindo um certificado pago de 1 ano em vez do gratuito de 90 dias. Não há forma conhecida de forçar a emissão do gratuito quando existe saldo. Se pretende usar apenas o produto gratuito, mantenha o saldo zerado.

Configurar o registro CAA​

Este passo é obrigatório para a SSL.com e deve ser feito antes da primeira emissão.

Se o domínio ainda não tem CAA​

Crie um registro do tipo CAA no domínio raiz, incluindo todas as CAs que você usa — não apenas a SSL.com:

0 issue "ssl.com"
0 issue "letsencrypt.org"
0 issue "sectigo.com"
0 issue "digicert.com"
0 issue "pki.goog"
Criar CAA torna a lista restritiva

Enquanto o domínio não tem CAA, todas as CAs estão autorizadas. No momento em que você cria o registro, apenas as CAs listadas passam a poder emitir. Se listar somente a SSL.com, você bloqueia todas as outras integrações que hoje funcionam.

Se o domínio já tem CAA​

Adicione uma linha ao registro existente:

0 issue "ssl.com"

Validar a publicação​

Após salvar, confirme que o registro está propagado:

dig +short CAA seudominio.com

A propagação no Route 53 costuma levar segundos. A SSL.com pode manter a consulta anterior em cache por alguns minutos — se a emissão falhar logo após a alteração, aguarde e tente novamente.

Conectar no CLM​

A SSL.com é cadastrada pelo card genérico de CA ACME.

  1. Acesse Integrações no menu lateral
  2. No card Outra CA (ACME), clique em Conectar
  3. Preencha o modal Registrar conta:
CampoDescrição
NomeIdentificador da conta no CLM, ex: SSL.com — em contas cadastradas pelo card genérico, este nome é o que identifica a CA nas telas e relatórios
E-mailEndereço de contato registrado junto à CA
Directory URL (ACME)https://acme.ssl.com/sslcom-dv-rsa para chaves RSA, ou https://acme.ssl.com/sslcom-dv-ecc para ECC
EAB Key IDA Account/ACME Key copiada do painel
EAB HMAC KeyA HMAC Key correspondente. Armazenada criptografada e nunca exibida novamente
  1. Clique em Registrar
A conta é registrada na primeira emissão

Após salvar, a conta fica com status aguardando registro. O CLM só registra a conta junto à SSL.com na primeira ordem enviada — por isso credenciais EAB incorretas só acusam erro na primeira emissão, não no cadastro.

Particularidades​

Endpoint por tipo de chave. A SSL.com mantém endpoints separados para RSA (sslcom-dv-rsa) e ECC (sslcom-dv-ecc). O tipo de chave do certificado emitido segue o endpoint escolhido no cadastro da integração. Para emitir os dois tipos, cadastre duas integrações.

Produto gratuito limitado. O certificado gratuito de 90 dias cobre um domínio mais o www correspondente. Certificados com mais SANs ou wildcards exigem produto pago.

Conta não verificada. Contas novas aparecem como Unverified / INCOMPLETE no dashboard. Para certificados DV, isso não bloqueia a emissão — a validação DV é apenas do controle do domínio. A verificação de identidade só é necessária para certificados IV, OV e EV.

Cache de consulta CAA. A SSL.com pode reter o resultado de uma consulta CAA anterior por alguns minutos. Alterações no DNS podem não refletir imediatamente na próxima tentativa de emissão.

Erros comuns​

Data does not contain required DNSNAME field.. CAA record does not include ssl.com which is required to issue the certificate​

Causa: o domínio não tem registro CAA autorizando a SSL.com. Ocorre inclusive quando o domínio não tem nenhum registro CAA — diferente das demais CAs, a SSL.com exige autorização explícita.

Solução:

  1. Crie ou edite o registro CAA do domínio incluindo:

    0 issue "ssl.com"

    Se estiver criando o registro do zero, inclua também todas as outras CAs em uso (ver seção Configurar o registro CAA)

  2. Confirme a propagação:

    dig +short CAA seudominio.com

  3. Aguarde alguns minutos antes de reenviar a ordem — a SSL.com pode estar usando um resultado em cache da consulta anterior

  4. Emita novamente

A primeira parte da mensagem (Data does not contain required DNSNAME field) acompanha o erro de CAA e normalmente se resolve junto com ele.

400: HOST_NOT_ALLOWED ao salvar a integração​

Causa: Directory URL digitada incorretamente. O host acme.ssl.com é aceito por padrão.

Solução: confirme a URL exata: https://acme.ssl.com/sslcom-dv-rsa (ou -ecc).

Certificado emitido com validade de 1 ano em vez de 90 dias​

Causa: a conta SSL.com tinha saldo disponível no momento da emissão, e o saldo foi consumido para emitir um certificado pago.

Solução: não há como reverter a emissão já realizada. Para usar apenas o produto gratuito nas próximas emissões, mantenha o campo available funds zerado.

Not all authorizations became valid after N attempts​

Causa: a validação do domínio não foi concluída.

Solução:

  • Validação manual: publique o registro TXT ou o arquivo HTTP indicado na tela e confirme
  • Validação automática (Route 53): confirme que a zona do domínio está na conta AWS integrada e com permissão de escrita
  • Confirme também que o CAA autoriza ssl.com — sem isso a validação nunca conclui

Editar​

Clique no menu ⋮ do card e selecione Editar. É possível alterar nome, e-mail, Directory URL e substituir as credenciais EAB. A HMAC Key atual nunca é exibida — informar uma nova substitui a anterior.

Excluir​

Clique no menu ⋮ do card e selecione Excluir. Desvincule os certificados ativos antes de remover a integração.

Referências externas​

Próximo passo​

Com a integração conectada, veja Emitir com SSL.com (ACME).