Entorno de gestión automática de certificados

El protocolo Entorno de Gestión Automática de Certificados ( ACME ) es un protocolo de comunicación para automatizar las interacciones entre las autoridades de certificación y los servidores de sus usuarios, lo que permite el despliegue automatizado de infraestructura de clave pública a un coste muy bajo. ^{[ 1 ] [ 2 ]} Fue diseñado por el Grupo de Investigación en Seguridad de Internet (ISRG) para su servicio Let's Encrypt . ^{[ 1 ]}

El protocolo, basado en el paso de mensajes con formato JSON a través de HTTPS , ^{[ 2 ] [ 3 ]} ha sido publicado como un estándar de Internet en RFC 8555 ^{[ 4 ]} por su propio grupo de trabajo IETF . ^{[ 5 ]} 

Un equipo liderado por Alex Halderman en la Universidad de Michigan y Peter Eckersley en la Electronic Frontier Foundation (EFF), junto con otro equipo en Mozilla Corporation liderado por Josh Aas y Eric Rescorla, desarrollaban simultáneamente un protocolo automatizado de gestión de certificados. Al enterarse de la existencia del otro equipo, ambos se unieron para crear el Internet Security Research Group (ISRG) en mayo de 2013, una corporación sin fines de lucro de interés público , de la cual Aas se convirtió en director. ^{[ 6 ]}

El ISRG continuó desarrollando el protocolo ACME para su uso en su autoridad de certificación (CA) Let's Encrypt , con el objetivo de crear una internet libre, abierta, segura y privada, así como en sus programas de CA Boulder y Certbot. Los objetivos del protocolo ACME eran reducir el coste de los certificados TLS de confianza pública y eliminar la complejidad y la propensión a errores de la instalación de nuevos certificados. Un estudio de 2013, del que Halderman fue coautor, reveló que, en internet, solo el 45 % de los certificados TLS estaban configurados correctamente y alrededor del 20 % no se reemplazaron antes de su vencimiento. ^{[ 7 ]} Aunque otro protocolo de gestión automática de certificados, el Protocolo de Gestión de Certificados (CMTP ), se estandarizó en 1999, el ISRG diferencia ACME como «adaptado a las necesidades de la PKI web y... diseñado con la emisión automatizada y escalable como objetivo principal». ^{[ 6 ]}

Antes de abril de 2015, cuando ISRG contrató a su primer empleado a tiempo completo, el conjunto de software Let's Encrypt, incluido ACME, fue desarrollado por ingenieros de EFF y Mozilla con la ayuda de Cisco e IdenTrust , incluyendo el trabajo de científicos informáticos de la Universidad de Michigan en lo que se convertiría en Certbot. La autoridad de certificación Let's Encrypt, la primera en admitir ACME, se abrió al público en diciembre de 2015 utilizando el protocolo aún propietario conocido como 'ACMEv1'. Esta versión se entregó para su estandarización pública a un grupo de trabajo ACME recién creado del Grupo de Trabajo de Ingeniería de Internet bajo la Sociedad de Internet en febrero de 2015. ^{[ 8 ]} El estándar finalizado se publicó en marzo de 2019 como RFC 8555 bajo la autoría de Richard Barnes de Cisco, Jacob Hoffman-Andrews de EFF, Daniel McCarney de Let's Encrypt y James Kasten de la Universidad de Michigan, con contribuciones de instituciones educativas o de investigación pública y empresas de ciberseguridad. ^{[ a ] ​​[ 6 ]} El protocolo ACME continúa recibiendo extensiones publicadas hasta 2026. ^{[ 8 ]}

El protocolo ACME funciona desde la perspectiva del servidor (CA) asignando a cada cliente una cuenta ACME, vinculada a una URI en el servidor. El cliente crea una cuenta consultando la URI del directorio del servidor, tras lo cual este responde con puntos finales de información adicionales y el acuerdo de términos de servicio de la CA. La cuenta ACME se crea una vez que el cliente acepta los términos, estableciendo el campo de respuesta correspondiente en verdadero.

El cliente obtiene entonces la preautorización del servidor, asegurando que el certificado que se emitirá cumpla con los requisitos del servidor, mediante el envío de un subconjunto de los campos del certificado. El servidor responde con una URL de "objeto de pedido" . Este paquete contiene una lista de los métodos de autorización compatibles con el servidor, que garantizan que el cliente posee el sujeto del certificado potencial. El cliente descarga un token de autorización de la(s) URL(s) indicadas en la respuesta y lo pone a disposición, por ejemplo, creando un registro DNS que lo contenga o abriendo un punto final HTTP que responda con él. Una vez que el token de autorización está disponible en la dirección del sujeto del certificado deseado, el cliente notifica al servidor que está preparado para la validación, la cual realiza el servidor al acceder al token de autorización.

Una vez completada la autorización, el cliente envía una solicitud de firma de certificado ( RFC 2986 ) que contiene el certificado que se va a firmar, lo que genera un objeto de orden actualizado con la decisión de la CA. Si la solicitud fue válida, la CA ha firmado el certificado del cliente y este puede descargarlo desde la URL proporcionada.

También existe funcionalidad para la revocación de certificados, la eliminación de cuentas y otras formas de autenticación. ^{[ 9 ]}

El ISRG proporciona implementaciones de referencia gratuitas y de código abierto para ACME: certbot es una implementación basada en Python de software de gestión de certificados de servidor que utiliza el protocolo ACME, ^{[ 10 ] [ 11 ] [ 12 ]} y boulder es una implementación de autoridad de certificación , escrita en Go . ^{[ 13 ]} Las implementaciones de cliente están disponibles para Rust en los cratesacme-client y .instant_acme

Desde 2015 ha aparecido una gran variedad de opciones de cliente para todos los sistemas operativos. ^{[ 14 ]}

Los servidores web como Caddy , Traefik Proxy , ^{[ 15 ]} Nginx (a partir de agosto de 2025) y Apache HTTP Server ^{[ 16 ]} (2.4.30 y posteriores) tienen soporte integrado para adquirir automáticamente un certificado TLS utilizando el protocolo ACME. ^{[ 17 ] [ 18 ]}

• Protocolo simple de inscripción de certificados , un intento anterior de protocolo automatizado para la implementación de certificados.
• El Protocolo de Gestión de Certificados es otro protocolo capaz de emitir certificados automáticamente.

• Barnes, Richard; Hoffman-Andrews, Jacob; Kasten, James (marzo de 2019). "Entorno de gestión automática de certificados (ACME)" . IETF.
• Lista de clientes de ACME en Let's Encrypt
• Lista de clientes ACME de uso común a través de acmeclients.com