Vlákno názorů k článku Certifikáty Let's Encrypt se skriptem Dehydrated od andrej - da sa toto (resp. cely letsencrypt) nejako pouzit...

Ne. Autorita musí nějak ověřit oprávněnost požadavku na vystavení certifikátu. Pokud není možné použít HTTP ani DNS challenge, pak autorita certifikát odmítne vystavit.

Otázka je, proč by nebylo možné ověřit vlastnictví domény přes DNS. Pokud je to normální doména registrovaná kdekoli pod TLD, mělo by být možné ji přes DNS ověřit. Pokud je to nějaká vlastní doména (např. local), zvažte přechod na normální doménu – s těmihle lokálními doménami bude čím dál víc problémů. Už dnes u těchhle domén budete mít problém právě s certifikáty pro HTTPS a s DNSSEC.

Neřekl bych, že to přináší problémy – spíš někde může být problém dostat příslušný validační TXT záznam do veřejného DNS serveru. Ale není to neřešitelné. Prostě pak bude zónový soubor veřejného DNS serveru vypadat nějak takhle:

$ORIGIN                  example.com.
@                        SOA             ns.example.com.          hostmaster.exemplecom. (…)
@                        MX      10      a.smtp.example.com.
                         MX      20      b.smtp.example.com.
                         SPF             "…"
                         A               a.b.c.d
                         AAAA            a:b:c:d::1
www                      A               a.b.c.d
                         AAAA            a:b:c:d::1
mail                     A               a.b.c.d
                         AAAA            a:b:c:d::1
_acme-challenge          TXT             "…"
_acme-challenge.www      TXT             "…"
_acme-challenge.mail     TXT             "…"

$ORIGIN                  local.example.com.
_acme-challenge.intranet TXT             "…"
_acme-challenge.www      TXT             "…"
_acme-challenge.ucto     TXT             "…"

Tím máte zvalidované názvy www.local.example.com, intranet.local­.example.com a ucto.local.exam­ple.com, a kam si je nasměrujete na vnitřním DNS, to už je vaše věc.

Pripadne si pres https://kb.isc.org/article/AA-00851/0/Understanding-views-in-BIND-9-by-example.html nastavite, ze verejne IP dostavaji jine odpovedi nez znamene IP z vasi site a cele se to da udelat na jednom nameserveru.

Mimochodem kdyz jste startup a tesite se, ze vas nekdo koupi, tak pouziti .local je potom peklo pri integraci tech dvou siti ;)