Für mehrere Dienste unter einer eigenen Domain ist ein Wildcard-Zertifikat sehr angenehm. Statt für jeden Hostnamen einzeln ein Zertifikat zu pflegen, kann ein Zertifikat für *.jqpollag.de genutzt werden.Der zentrale Punkt ist die DNS-01-Challenge. Dabei wird nicht über Port 80 geprüft, sondern über einen DNS-TXT-Eintrag. Das ist besonders praktisch, wenn Dienste intern stehen oder über Reverse Proxy erreichbar sind.
Wichtig ist:
- DNS-Provider muss automatisierbar sein oder manuelle TXT-Einträge erlauben.
- Private Keys und API-Zugänge dürfen nicht im Klartext herumliegen.
- Der Reverse Proxy muss das richtige Zertifikat verwenden.
- Nextcloud muss die korrekten trusted domains und Proxy-Header kennen.
Im Verlauf wurde auch klar: Zertifikatdateien müssen zusammenpassen. Ein privater Schlüssel gehört immer zu genau dem Zertifikat, mit dem er erzeugt wurde. Wenn fullchain und privkey nicht zusammenpassen, scheitert TLS.
Fazit: Wildcard-Zertifikate machen Homelab-Dienste komfortabler, aber DNS-API, Zertifikatspfad und Reverse-Proxy-Konfiguration müssen sauber dokumentiert sein.