¿Qué es ACME?

El Entorno de Gestión Automática de Certificados (ACME) es un protocolo que automatiza la solicitud, la validación, la emisión y la renovación de certificados digitales entre un cliente y una autoridad de certificación (CA). Sustituye la inscripción manual de certificados por un intercambio basado en una API, y los dispositivos « Versa » pueden utilizarlo como tipo de servidor de certificados a partir de la versión 22.1.3.

Puntos clave

• ACME automatiza la emisión, la validación y la renovación de certificados a través de una API.
• Sustituye los pasos manuales de generación de CSR e importación de certificados.
• El control del dominio o del dispositivo se verifica mediante pruebas de autenticación automatizadas.
• La IETF normalizó ACME en el RFC 8555; Let’s Encrypt lo popularizó.
• Versa Los dispositivos admiten ACME como tipo de servidor de certificados desde la versión 22.1.3.

En esta página: Por qué es importante · Cómo funciona · Tipos · ACME y Versa · Preguntas frecuentes

¿Por qué es importante ACME?

Todos los certificados TLS tienen una fecha de caducidad, y si uno caduca sin que nadie se dé cuenta, el servicio al que da acceso deja de funcionar —una causa habitual y evitable de interrupciones del servicio—. Antes de ACME, mantener los certificados al día implicaba que un administrador generara una solicitud de certificado (CSR), la enviara a una autoridad de certificación (CA) e importara el resultado antes de que caducara el certificado anterior, un proceso que había que repetir para cada host y en cada ciclo de renovación.

ACME transforma ese flujo de trabajo manual en un intercambio automatizado a través de una API. Un cliente solicita un certificado, demuestra que controla un identificador y recibe un certificado firmado sin intervención humana; después, lo renueva de la misma forma, tantas veces como sea necesario. Esa automatización hizo que los certificados de corta duración resultaran prácticos a gran escala: la autoridad de certificación gratuita de Let’s Encrypt, basada en ACME, impulsó la adopción masiva de HTTPS, y ese mismo modelo se extiende ahora a las PKI internas, las flotas de IoT y los dispositivos de red que necesitan una rotación rutinaria de certificados.

¿Qué es ACME?

Un intercambio ACME se produce entre un cliente ACME (el dispositivo o software que solicita un certificado) y un servidor ACME, gestionado por una autoridad de certificación. El cliente registra una cuenta en la autoridad de certificación utilizando un par de claves y, a continuación, envía una solicitud en la que indica uno o varios identificadores —normalmente nombres de dominio— que desea que se certifiquen.

Para demostrar que controla dichos identificadores, el cliente completa uno o varios retos que le plantea la CA. Una vez superada la validación, el cliente envía una solicitud de certificado (CSR) para el pedido, y la CA emite el certificado firmado para su descarga. Cada mensaje es una solicitud de firma web JSON (JWS) a través de HTTPS, por lo que todo el ciclo de vida —pedido, validación, finalización, descarga y posterior renovación— se lleva a cabo sin que sea necesario que una persona genere archivos ni apruebe cada paso manualmente.

Tipos de retos de ACME

ACME define varios tipos de desafío para demostrar el control de un identificador. En HTTP-01, el cliente debe enviar un token a una URL conocida en el puerto 80, que la CA recupera para confirmar el control del servidor web. DNS-01 consiste en que el cliente publique un registro TXT en el dominio; funciona sin necesidad de un servidor web público y es la única opción para los certificados comodín. TLS-ALPN-01 presenta el token en un certificado autofirmado durante un protocolo de enlace TLS en el puerto 443.

Más allá de los tipos de desafío, ACME ha pasado por varias versiones del protocolo: la versión original ACMEv1, utilizada por los primeros clientes de Let’s Encrypt, ha quedado obsoleta, y la versión actual es ACMEv2, estandarizada en el RFC 8555, que incorpora un modelo de recursos de pedido explícito y compatibilidad con certificados comodín, características de las que carecía la v1.

ACME y Versa

Los dispositivos VOS admiten ACME como uno de los tipos de servidor de certificados, junto con CMP, SCEP, KMIP, GCP y CRL, desde la versión 22.1.3. El administrador lo añade desde el Gestor de certificados por dispositivo de Director (Configuración > Objetos y conectores > Conectores > Gestor de certificados > Servidores), seleccionando el tipo de servidor ACME e introduciendo la URL de inscripción de la CA, un intervalo de reintento y la interfaz utilizada para acceder a ella. La versión 22.1.3 también incorporó la «CSR predeterminada», que genera automáticamente una solicitud de firma utilizando el ID del dispositivo como nombre común, en lugar de requerir que se introduzcan manualmente todos los atributos de la CSR.

Esta misma opción también aparece anteriormente en el flujo de trabajo: al crear un inquilino de « Secure SD-WAN » en Concerto con autenticación mediante certificado (versión 12.1.1 o posterior), se añade un paso de «Certificado» en el que se puede configurar el «Tipo de servidor» como ACME, CMP o SCEP para la CA del inquilino. Una vez definido el servidor, las solicitudes de certificado especifican la validez, una opción de renovación automática y un umbral de renovación, de modo que el certificado emitido por ACME para un dispositivo se renueva automáticamente antes de su caducidad, en lugar de tener que realizar un seguimiento manual.

Preguntas frecuentes

¿Qué significa ACME?

ACME son las siglas de «Automatic Certificate Management Environment» (también escrito «Automated Certificate Management Environment»), estandarizado en el RFC 8555 de la IETF. Define una API para solicitar, validar, emitir y renovar certificados digitales entre un cliente y una autoridad de certificación sin necesidad de pasos manuales.

¿Cómo demuestra ACME que tiene el control del dominio o del dispositivo?

ACME plantea uno o varios retos, como enviar un token a una URL concreta (HTTP-01), publicar un registro TXT de DNS (DNS-01) o presentarlo durante un protocolo de enlace TLS (TLS-ALPN-01). La autoridad de certificación solo emite el certificado una vez que el cliente ha superado con éxito uno de los retos.

¿Admite « Versa » el protocolo ACME para la emisión de certificados?

Sí. Desde la versión 22.1.3, los dispositivos VOS pueden utilizar ACME como tipo de servidor de certificados, configurado por dispositivo en el Gestor de certificados de Director, o como tipo de CA para la autenticación mediante certificados de un inquilino de Secure SD-WAN en Concerto, junto con los tipos de servidor CMP, SCEP, KMIP, GCP y CRL.

¿Cuál es la diferencia entre ACME, SCEP y CMP en un dispositivo Versa ?

Los tres son tipos de servidores de certificados en los que un dispositivo VOS puede registrarse: ACME es el protocolo automatizado y basado en API de la IETF; SCEP es el Protocolo Simple de Registro de Certificados; y CMP es el Protocolo de Gestión de Certificados. Versa configura los tres de la misma manera, como una opción de «Tipo de servidor» en el objeto del servidor de certificados.

¿Cómo renueva automáticamente un dispositivo VOS un certificado ACME?

Las solicitudes de certificados en un dispositivo VOS admiten una opción de renovación automática y un umbral de renovación —un porcentaje del periodo de validez del certificado a partir del cual se inicia automáticamente la renovación—, de modo que el dispositivo solicita un nuevo certificado al servidor ACME antes de que caduque el actual.

Más información sobre ACME

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre ACME, te conviene echar un vistazo a esto a continuación.