Wildcard sertifikada DNS-01 kullanırken API anahtarını nasıl koruyorsunuz?

Evde birkaç servis ve alt alan adı çalıştırınca wildcard sertifika çok pratik oluyor; her yeni servis için ayrı sertifika peşinde koşmuyorsun. Ama DNS-01 doğrulaması için DNS sağlayıcısının API erişimini otomasyona vermek gerekiyor. Bence asıl tartışmalı kısım da burada: kolaylık mı, daha dar yetkili ve güvenli bir kurulum mu?

Benim dikkat ettiğim noktalar şunlar:

• Mümkünse API anahtarını tüm DNS kayıtlarını yönetebilen tam yetkili bir hesap yerine, yalnızca gereken bölgeyle ve işlem türleriyle sınırlıyorum.
• Anahtarı yapılandırma dosyasına düz metin koymak yerine ortam değişkeni ya da erişimi kısıtlı bir secret dosyası kullanıyorum. Yedeklere ve depo kayıtlarına yanlışlıkla girmediğini de kontrol etmek gerekiyor.
• Yenileme otomatik olsa bile sertifikanın gerçekten yenilendiğini ve ters vekil sunucunun yeni sertifikayı yüklediğini ayrıca izliyorum. Yenileme başarılı, servis eski sertifikayı sunuyor senaryosu insanı fena ters köşeye yatırabiliyor.

Bir de wildcard sertifikayı bütün sunuculara dağıtmak yerine TLS sonlandırmayı tek bir ters vekil sunucuda tutmak, yönetimi kolaylaştırabiliyor; tabii iç ağdaki servislerin güvenlik ihtiyacı da hesaba katılmalı.

Siz DNS-01 kullanıyorsanız API erişimini nasıl sınırlandırıyorsunuz? Yoksa her servis için ayrı sertifika ve HTTP-01 yöntemiyle mi devam ediyorsunuz?