AcmefyerAgentenbasierter ZertifikatsmanagerZertifikate, die sich wie von selbst erneuern.
Acmefyer ist ein SSL-Zertifikatsmanager für das eigene Netz: Er holt SSL/TLS-Zertifikate von Let’s Encrypt, ZeroSSL, BuyPass oder Google Trust Services, erneuert sie rechtzeitig und rollt sie dorthin aus, wo sie gebraucht werden. Eingespielt wird von innen: Ein Agent auf dem Zielsystem holt sich das Zertifikat selbst ab, ohne PowerShell-Remoting und ohne eingehende Ports.
Vom Renew-Fenster bis zur IIS-Bindung: ein Lauf, vollständig protokolliert.
Die Gültigkeit von Zertifikaten schrumpft.
Die Browserhersteller Apple, Google, Microsoft und Mozilla haben im CA/Browser Forum gemeinsam mit den Zertifizierungsstellen beschlossen, die Laufzeit öffentlicher TLS-Zertifikate Schritt für Schritt zu verkürzen: von 398 Tagen auf 47 Tage bis 2029. Die Bestätigung der Domain gilt dann nur noch 10 Tage.
Bei 47 Tagen wird jedes Zertifikat etwa jeden Monat getauscht, auf jedem Webserver, jedem Mailsystem und jeder Firewall. Von Hand ist das nicht mehr zu schaffen. Acmefyer erneuert automatisch und spielt das neue Zertifikat per Agent ein, ohne dass jemand eingreifen muss.
Quelle: CA/Browser Forum, Ballot SC-081v3, beschlossen am 11. April 2025.
Jede ACME-Challenge
HTTP-01 mit integriertem Challenge-Server, DNS-01 für rund 190 DNS-Anbieter, auch für Wildcard-Zertifikate (*.example.com), und TLS-ALPN-01.
Automatische Erneuerung
Zeitplan mit Backoff, Sperre je Zertifikat und Idempotenz. Nichts läuft doppelt, nichts läuft ab.
Rollout per Agent
Der Agent auf dem Zielsystem holt das Zertifikat selbst ab und spielt es lokal ein, ohne eingehende Ports.
Sicher ab Werk
AES-256-GCM für Geheimnisse, Argon2id-Passwörter, AD/LDAP-Anmeldung mit Rollen, optional TOTP und ein Audit-Log.
Benachrichtigungen
E-Mail, Teams, Telegram, PRTG oder Webhook. Mit Vorlagen, Ratenbegrenzung und Deduplizierung.
Zwei Oberflächen, ein Kern
Web-Oberfläche im Browser, Deutsch und Englisch, hell und dunkel. Dazu eine Terminal-Oberfläche direkt auf dem Server.
Keine Firewall-Löcher, kein PowerShell-Remoting.
Viele Werkzeuge und Skripte spielen Zertifikate von außen ein: per PowerShell-Remoting, über Dateifreigaben oder per Fernanmeldung. Dafür brauchen sie offene Ports auf jedem Zielsystem und Administrator-Zugangsdaten an zentraler Stelle.
Der Acmefyer-Agent läuft direkt auf dem Zielsystem. Er baut selbst eine verschlüsselte Verbindung zum Acmefyer-Server auf, holt das Zertifikat ab und spielt es lokal ein.
So kommen Zertifikate in IIS, Exchange, den Windows-Zertifikatsspeicher, NGINX, Apache oder eigene Skripte. Daneben exportiert Acmefyer PEM- und PFX-Dateien ins Dateisystem oder auf eine Windows-Freigabe, überträgt per SSH, ruft Webhooks auf und spielt Zertifikate per REST-API in Firewall-Appliances ein, z. B. FortiGate.
Für jedes Ziel wählen Sie, wer den Rollout übernimmt: der Server selbst oder ein Agent. Der Server bietet nur die sicheren Aktionen an, also Export, SSH und Webhook. Firewall-Appliances wie eine FortiGate bedient immer ein Agent, etwa einer in der DMZ direkt neben der Firewall.
- Verbindung
- Nur ausgehend vom Agenten zum Server, per HTTPS mit gegenseitiger Zertifikatsprüfung (mTLS). Auf den Zielsystemen ist kein eingehender Port nötig.
- Firewall
- Eine Regel: Agent zum Server-Port (Standard 8443). Kein WinRM, keine Dateifreigabe, kein RDP.
- Zugangsdaten
- Auf dem Server liegen keine Administrator-Kennwörter der Zielsysteme. Der Agent arbeitet mit den Rechten seines lokalen Dienstes.
- Lokal eingespielt
- IIS-Bindungen, Exchange, Windows-Zertifikatsspeicher, NGINX, Apache und eigene Skripte
- Interne Netze
- Zielsysteme brauchen keinen Internetzugang. Nur der Acmefyer-Server spricht mit der Zertifizierungsstelle.
Der Server holt das Zertifikat über das Internet. Die Agenten auf den Zielsystemen bauen selbst eine Verbindung zum Server auf und spielen es lokal ein. Von außen wird nichts geöffnet.
Für Firewall-Appliances wie eine FortiGate übernimmt ein Agent in der DMZ den Rollout. Durch die Firewall geht nur seine ausgehende Verbindung zum Server, der Server selbst braucht keinen Weg in die DMZ.
Ein Skript-Server greift von außen auf jedes Ziel zu: Auf jedem Zielsystem müssen dafür mehrere Ports für seine Verbindungen offen sein. Bei Acmefyer ist es genau eine eingehende Verbindung, von den Agenten zum Acmefyer-Server auf Port 8443. Die Zielsysteme brauchen keinen offenen Port.
- 01
Domain anlegen
Zertifizierungsstelle, Challenge und Zielsysteme einmal festlegen.
- 02
Ausstellen
Acmefyer beantwortet die Challenge und holt das Zertifikat ab.
- 03
Ausrollen
Die Agenten spielen das Zertifikat auf den Zielsystemen ein.
- 04
Erneuern
Im Renew-Fenster wiederholt sich alles automatisch, mit Benachrichtigung.
- Plattformen
- Windows und Linux, als Programmdatei sowie als .deb- und .rpm-Paket
- Programme
acmefyer-serverfür Dienst, Web- und Terminal-Oberfläche ·acmefyer-agentfür die Zielsysteme- Datenhaltung
- Eingebettete Datenbank, Geheimnisse mit AES-256-GCM verschlüsselt
- Anmeldung
- Lokaler Admin mit Startpasswort, AD/LDAP mit Rollen, optional TOTP
- Standard-Adresse
127.0.0.1:8443, frei konfigurierbar- Netzwerk
- Server: ausgehend zur Zertifizierungsstelle (und für DNS-01 zum DNS-Anbieter), für die Lizenzaktivierung zu www.wedigo.net, auch über einen Proxy (aus den Windows-Einstellungen übernommen oder in der Konsole einstellbar). Agenten: nur ausgehend zum Server.
- Updates
- Automatisches Self-Update aus signierten Releases, optional im Wartungsfenster. Startet eine neue Version nicht sauber, kehrt der Dienst von selbst zur Vorversion zurück. Abschaltbar oder nur als Hinweis.
Zwischen ACME-Client und Konzernplattform.
Für die Verwaltung von SSL-Zertifikaten gibt es grob vier Wege: einen ACME-Client auf jedem Server, eigene Skripte mit Fernzugriff, eine Plattform für Certificate Lifecycle Management oder ein Monitoring, das vor dem Ablauf warnt.
Acmefyer verbindet die zentrale Zertifikatsverwaltung einer Plattform mit dem einfachen Betrieb eines ACME-Clients: ein Server für alle Zertifikate, Agenten auf den Zielsystemen, einmal gekauft.
- ACME-Client je Server
- Zum Beispiel Certbot, win-acme, Certify The Web oder Posh-ACME. Sie erneuern Zertifikate auf dem Server, auf dem sie installiert sind. Acmefyer verwaltet alle Zertifikate an einer Stelle und rollt sie per Agent auf viele Systeme aus, mit gemeinsamen Benachrichtigungen und Audit-Log.
- Eigene Skripte
- PowerShell über WinRM oder Dateifreigaben, Certbot-Hooks per SSH. Dafür brauchen die Zielsysteme offene Ports und der Skript-Server Administrator-Kennwörter. Bei Acmefyer verbinden sich die Agenten nur ausgehend, siehe Rollout.
- Plattformen für Certificate Lifecycle Management
- Zum Beispiel Venafi (CyberArk), Keyfactor, AppViewX oder Sectigo Certificate Manager, mit Funktionen für eigene PKI, viele Zertifizierungsstellen und Richtlinien im ganzen Unternehmen. Acmefyer konzentriert sich auf Zertifikate per ACME, läuft als einzelnes Programm unter Windows und Linux und wird einmalig gekauft.
- Ablauf-Monitoring
- Zum Beispiel Zertifikats-Checks in PRTG, Zabbix oder Nagios. Sie warnen vor dem Ablauf, den Tausch übernimmt weiter ein Mensch. Acmefyer erneuert und tauscht das Zertifikat selbst und meldet das Ergebnis, auf Wunsch auch an PRTG.
Acmefyer 1.x
- Unbegrenzt Zertifikate, Domains und Agenten
- Alle Updates der Versionsfamilie 1.x
- Lizenzschlüssel sofort per E-Mail, Aktivierung online
- 14 Tage Geld zurück
- Ohne Schlüssel kostenlos ausprobieren: 1 Domain mit 1 Subdomain (oder Wildcard) und 1 Agent, alle Funktionen