Pular para o conteúdo principal

ZeroSSL (ACME)

Emissão automatizada de certificados DV via ACME com External Account Binding, integrada ao ZeroSSL.

Requisitos​

RequisitoDetalhe
Conta ZeroSSLConta ativa em zerossl.com (o plano gratuito atende)
Directory URLhttps://acme.zerossl.com/v2/DV90
EABObrigatório — Key ID e HMAC Key. Reutilizável, sem prazo de validade
Registro CAASe o domínio tiver CAA publicado, precisa incluir 0 issue "sectigo.com" — o ZeroSSL emite sob a hierarquia da Sectigo

Obter as credenciais no ZeroSSL​

  1. Acesse o painel do ZeroSSL e faça login
  2. Vá na seção Developer
  3. Localize o bloco EAB Credentials e clique em Generate
  4. Copie os dois valores exibidos:
Campo no ZeroSSLUso no CLM
EAB KIDEAB Key ID
EAB HMAC KeyEAB HMAC Key
Credenciais reutilizáveis

Diferente do Google Trust Services, o EAB do ZeroSSL não é de uso único nem expira. Se uma tentativa de cadastro falhar, você pode repetir com as mesmas credenciais sem precisar gerar novas.

Conectar no CLM​

O ZeroSSL é cadastrado pelo card genérico de CA ACME.

  1. Acesse Integrações no menu lateral
  2. No card Outra CA (ACME), clique em Conectar
  3. Preencha o modal Registrar conta:
CampoDescrição
NomeIdentificador da conta no CLM, ex: ZeroSSL — em contas cadastradas pelo card genérico, este nome é o que identifica a CA nas telas
E-mailEndereço de contato registrado junto à CA
Directory URL (ACME)https://acme.zerossl.com/v2/DV90
EAB Key IDO EAB KID copiado do painel
EAB HMAC KeyA HMAC Key correspondente. Armazenada criptografada e nunca exibida novamente
  1. Clique em Registrar
A conta é registrada na primeira emissão

Após salvar, a conta fica com status aguardando registro. O CLM só registra a conta junto ao ZeroSSL na primeira ordem enviada — por isso credenciais EAB incorretas só acusam erro na primeira emissão, não no cadastro.

Particularidades​

Certificados de 90 dias. O produto padrão (DV90) emite certificados com validade de 90 dias, renováveis automaticamente pelo CLM.

Suporte a wildcard e multi-SAN. Aceita até 100 nomes por certificado, incluindo wildcards. Certificados wildcard exigem validação DNS-01 — no CLM, isso significa validação DNS manual ou automática via Route 53.

Hierarquia sob a Sectigo. O ZeroSSL não opera raiz própria. A cadeia emitida é:

seu-dominio.com
  └─ ZeroSSL RSA DV SSL CA 2
      └─ Sectigo Public Server Authentication Root R46
          └─ USERTrust RSA Certification Authority

Isso tem duas consequências práticas: o serviço de OCSP responde em ocsp.sectigo.com, e o registro CAA deve autorizar sectigo.com. Se o CAA do domínio autorizar apenas zerossl.com, a emissão pode ser recusada.

Propriedade. O ZeroSSL é sediado em Viena, Áustria, e foi adquirido pela HID Global em janeiro de 2024. É uma plataforma de emissão que opera sobre a infraestrutura de CA da Sectigo — relevante se sua política interna de confiança avaliar raízes, não marcas.

Rekey automático na renovação. Cada renovação gera um novo par de chaves — o certificado renovado tem serial, fingerprint e chave pública distintos do anterior.

Erros comuns​

CAA record does not include ... which is required to issue the certificate​

Causa: o domínio tem registro CAA publicado que não autoriza a CA emissora.

Solução: adicione a autorização da Sectigo ao registro CAA do domínio:

0 issue "sectigo.com"

Se o domínio ainda não tem CAA, criar um registro CAA torna a lista restritiva — inclua todas as CAs que você usa, não apenas uma:

0 issue "letsencrypt.org"
0 issue "sectigo.com"
0 issue "digicert.com"
0 issue "pki.goog"

Aguarde a propagação (segundos no Route 53) e emita novamente.

400: HOST_NOT_ALLOWED ao salvar a integração​

Causa: Directory URL digitada incorretamente. O host acme.zerossl.com é aceito por padrão.

Solução: confirme a URL exata: https://acme.zerossl.com/v2/DV90.

Not all authorizations became valid after N attempts​

Causa: a validação do domínio não foi concluída.

Solução:

  • Validação manual: publique o registro TXT ou o arquivo HTTP indicado na tela e confirme
  • Validação automática (Route 53): confirme que a zona do domínio está na conta AWS integrada e que a integração tem permissão de escrita nela

Erro ao emitir wildcard com validação HTTP​

Causa: certificados wildcard só podem ser validados por DNS-01, limitação do próprio protocolo ACME.

Solução: escolha validação DNS (manual ou Route 53 automática) ao emitir wildcards.

Editar​

Clique no menu ⋮ do card e selecione Editar. É possível alterar nome, e-mail, Directory URL e substituir as credenciais EAB. A HMAC Key atual nunca é exibida — informar uma nova substitui a anterior.

Excluir​

Clique no menu ⋮ do card e selecione Excluir. Desvincule os certificados ativos antes de remover a integração.

Próximo passo​

Com a integração conectada, veja Emitir com ZeroSSL (ACME).