Momenteel werkt de API met de whitelist best goed. Voor mijn use-case is de API en zijn vooral de rechten veel te breed. Daarnaast zijn er nog een paar kleinere puntjes.
Usecase:
Ik gebruik cert-bot om automatisch een wildcard certificaat aan te maken op mijn server. Cert-bot heeft de mogelijkheid om een bash (sh) script als authenticatie-hook toe te voegen. In deze hook voeg ik jullie API toe om automatisch een DNS TXT record aan te maken op mijn domein.
Probleem:
Iemand die toegang krijgt tot mijn server krijgt daarbij ook toegang tot de Key Pair. Die kan daarbij veel acties uitvoeren. Omdat het script draait op mijn server haalt een Whitelist ook niets uit.
Oplossing:
Laat bij aanmaken van de Key Pair de gebruiker kiezen welke functies ze willen gebruiken. De rest kan niet worden gebruikt.
Andere gedachten:
- Bij het invullen van de Key Pair in PHP was het niet duidelijk dat ook de header en footer meegenomen moest worden. Bij mij ging dat eerst fout.
- DNS records kan ik met de API niet lezen, alleen schrijven.
- DNS records kan ik alleen totaal overschrijven. Het zou fijn zijn om gericht een DNS record te vervangen/verwijderen of toevoegen.
- Het zou super zijn als jullie zelf een CertBot authenticator bash/sh script zouden maken om de aan de DNS-01 challenge te voldoen.