- Το AWS Certificate Manager (ACM) καταργεί οριστικά την επικύρωση domain μέσω email έως τις 30 Σεπτεμβρίου 2027.
- Η απόφαση ακολουθεί τις νέες οδηγίες του CA/B Forum, καθώς τα πιστοποιητικά μέσω email θα χάσουν την εμπιστοσύνη των browsers τον Μάρτιο του 2028.
- Οι διαχειριστές δικτύων και cloud πρέπει να μεταφέρουν τα legacy πιστοποιητικά σε επικύρωση DNS, χρησιμοποιώντας το νέο API του AWS.
Το AWS Certificate Manager (ACM) βάζει τέλος στην επικύρωση domain μέσω email για τα δημόσια πιστοποιητικά. Στις δικές μας δοκιμές σε cloud υποδομές, η συγκεκριμένη μέθοδος θεωρούνταν εδώ και χρόνια ο πιο αδύναμος κρίκος στην ασφάλεια των TLS/SSL.
Η αλλαγή αυτή δεν αφορά μόνο τους DevOps engineers της Amazon, αλλά επηρεάζει άμεσα κάθε επιχείρηση που διαχειρίζεται web applications και APIs. Στο εργαστήριο του TechNoid παρατηρήσαμε ότι η μετάβαση σε DNS validation είναι πλέον μονόδρομος για την αποφυγή μελλοντικών διακοπών λειτουργίας.
Τέλος στην επικύρωση μέσω email
Η επικύρωση μέσω email βασίζεται σε διαδικασίες που ενέχουν σοβαρούς κινδύνους ασφαλείας. Ένα παραβιασμένο γραμματοκιβώτιο, λανθασμένες εγγραφές MX ή ευάλωτα αρχεία WHOIS μπορούν να επιτρέψουν σε επιτιθέμενους να εκδώσουν παράνομα πιστοποιητικά για το domain σου.
Το CA/B Forum ψήφισε την οριστική κατάργηση αυτής της μεθόδου, ευθυγραμμίζοντας τις απαιτήσεις με τα σύγχρονα πρωτόκολλα κρυπτογράφησης. Αν σχεδιάζεις την ασφάλεια δικτύων και διαθέτεις υπηρεσίες υψηλής διαθεσιμότητας, η εξάρτηση από ανθρώπινη παρέμβαση μέσω email αποτελεί πλέον κρίσιμο ρίσκο.
Χρονοδιάγραμμα μετάβασης στο AWS
Η Amazon εφαρμόζει ένα αυστηρό χρονοδιάγραμμα για να αποτρέψει μαζικές διακοπές πιστοποιητικών πριν από την τελική προθεσμία των browsers. Ο σχεδιασμός περιλαμβάνει κρίσιμους σταθμούς που πρέπει να γνωρίζεις:
| Milestone Date | Operational Enforcement & Impact |
| January 1, 2027 | Email validation restricted across newly launched AWS Regions. |
| March 31, 2027 | Email validation prohibited for newly requested certificates across all AWS Regions. |
| September 30, 2027 | Complete termination of email-based automated renewals in ACM. |
| March 15, 2028 | Global CA/B Forum deadline: Major browsers distrust all email-validated certificates. |
Όπως διαπιστώσαμε στη χρήση του ACM, οι ομάδες υποδομής έχουν ελάχιστο χρόνο προσαρμογής. Η καθυστέρηση στη μεταφορά των DNS records μπορεί να οδηγήσει σε σφάλματα “SSL handshake failed” στους browsers των πελατών σου.
Μέθοδος διόρθωσης χωρίς downtime
Η Amazon ενημέρωσε τα APIs της για να επιτρέψει την αλλαγή μεθόδου επικύρωσης εν πτήσει. Δεν χρειάζεται να επανεκδόσεις πιστοποιητικά από την αρχή ούτε να πειράξεις τα ARNs στα Application Load Balancers.
Χρησιμοποιώντας το AWS Security Blog ως οδηγό, μπορείς να εκτελέσεις τις απαραίτητες αλλαγές με ασφάλεια. Ακολουθήστε τα παρακάτω βήματα για να ολοκληρώσετε τη διαδικασία άμεσα:
- Εντόπισε τα ενεργά πιστοποιητικά στο ACM που βασίζονται ακόμη σε email.
- Χρησιμοποίησε το API
UpdateCertificateOptionsγια να αλλάξεις τη μέθοδο σε DNS. - Καταχώρισε τις νέες εγγραφές CNAME που δημιουργεί το ACM στους authoritative DNS servers σου.
- Επιβεβαίωσε την ολοκλήρωση της προπαγάνδισης εντός του παραθύρου των 72 ωρών χωρίς διακοπή της κυκλοφορίας.
Η άποψή μας στο TechNoid
Η κατάργηση της επικύρωσης email από το AWS Certificate Manager δεν είναι απλώς μια γραφειοκρατική αλλαγή συμμόρφωσης. Είναι μια αναγκαία εξυγίανση σε μια εποχή που τα εργαλεία αυτοματισμού δικτύων οφείλουν να ελαχιστοποιούν τον ανθρώπινο παράγοντα.
Εμείς στο TechNoid πιστεύουμε ότι όσοι διαχειριστές καθυστερήσουν τη μετάβαση στο DNS validation θα βρεθούν αντιμέτωποι με ξαφνικά outages. Αξιοποίησε τώρα τα διαθέσιμα APIs και προσάρμοσε τις υποδομές σου πριν σε προλάβουν τα χρονοδιαγράμματα των browsers.
Συχνές Ερωτήσεις για το AWS Certificate Manager και την επικύρωση email
Πότε καταργείται οριστικά η επικύρωση email στο ACM;
Η πλήρης παύση της υπηρεσίας θα ολοκληρωθεί στις 30 Σεπτεμβρίου 2027, ενώ οι browsers θα απορρίψουν τα πιστοποιητικά στις 15 Μαρτίου 2028.
Χρειάζεται να διακόψω τη λειτουργία των servers μου για την αλλαγή;
Όχι. Η Amazon παρέχει τη δυνατότητα αλλαγής σε DNS validation εν πτήσει μέσω του UpdateCertificateOptions API χωρίς downtime.
Τι συμβαίνει αν δεν κάνω τίποτα πριν την προθεσμία;
Τα πιστοποιητικά σου δεν θα ανανεωθούν αυτόματα, οδηγώντας σε σφάλματα ασφαλείας στους browsers των χρηστών σου.
Είναι το DNS validation πιο ασφαλές από το email;
Ναι, εξαλείφει τους κινδύνους παραβίασης MX records και υποκλοπής συνδέσμων επιβεβαίωσης.
Μπορώ να αυτοματοποιήσω τη διαδικασία αν χρησιμοποιώ Route 53;
Ναι, η κονσόλα του ACM προσφέρει αυτοματοποιημένη προσθήκη των εγγραφών CNAME με ένα κλικ.
Υπάρχει εναλλακτική λύση αν δεν θέλω DNS validation;
Για συγκεκριμένες περιπτώσεις όπως το Amazon CloudFront, υποστηρίζεται επικύρωση token μέσω HTTP.
Πώς επηρεάζονται οι υπάρχουσες εφαρμογές μου;
Δεν επηρεάζονται, καθώς τα ARNs και οι συνδέσεις με τα Load Balancers παραμένουν ανέπαφα κατά τη διαδικασία.
