Eigene Anmeldedomain einrichten

Eine eigene Domain wie login.acme.com bedient jede Oberfläche Ihrer Umgebung, die Endnutzer sehen: die gehostete Anmeldung, das Konto-Portal, das Admin Portal, die OIDC- und OAuth-Endpunkte, SSO, SAML und SCIM sowie die Links in E-Mails. Die Domain Ihrer eigenen Anwendung wird nicht von KeenAuth gehostet. Die Umgebung development hat keine eigenen Domains.

Bevor Sie beginnen

Der Name muss mindestens drei Labels haben (eine Subdomain), weil ein CNAME nicht an der Wurzel einer Domain gesetzt werden kann.
Er wird in sein IDNA2008-A-Label umgewandelt und in Kleinbuchstaben geschrieben. Er darf nicht keenauth.app, keenauth.com oder eine Subdomain davon sein und nicht selbst ein Public Suffix.
Ein Name ist auf der gesamten Plattform eindeutig. Ein freigegebener Name bleibt 30 Tage in Quarantäne, bevor ein anderes Konto ihn hinzufügen kann.
Free-Tarif: eine Domain, und das Konto muss eine verifizierte Zahlungskarte haben. Mehr als eine Domain pro Umgebung ist ein Enterprise-Merkmal.
Jedes Konto kann pro Tag (UTC) höchstens 10 Domains hinzufügen. Abgelehnte Versuche zählen mit.

Schritt 1: Domain hinzufügen

Rufen Sie Eigene Domain hinzufügen auf. Die Domain beginnt in pending_dns, und die Antwort nennt die DNS-Einträge, die Sie veröffentlichen müssen.

Schritt 2: Zwei DNS-Einträge veröffentlichen

Typ	Name	Wert
TXT	`_akp-verify.<hostname>`	`idp-verify=<26-stelliges Base32-Token>`
CNAME	`<hostname>`	`<environment-slug>.<region>.edge.keenauth.app`

Behalten Sie den TXT-Eintrag dauerhaft im DNS, auch nachdem die Domain aktiv ist. Er ist der Eigentumsnachweis: Wechselt die Domain den Besitzer, kann der bisherige Besitzer die Seite nicht mehr ausliefern lassen.

Beide Einträge müssen sichtbar sein. Die Prüfung läuft 72 Stunden lang alle 5 Minuten, danach 30 Tage lang stündlich. Um eine angehaltene Prüfung neu zu starten, rufen Sie Eigene Domain verifizieren auf.

Schritt 3: CAA-Einträge prüfen

Hat die Domain oder eine übergeordnete Domain einen CAA-Eintrag, muss dieser beide ACME-Zertifizierungsstellen erlauben, die KeenAuth verwendet. Andernfalls kehrt die Domain mit dem Fehlergrund caa_blocked zu pending_dns zurück, und das Dashboard zeigt die genaue hinzuzufügende CAA-Zeile. Existiert kein CAA-Eintrag, ist nichts nötig.

Zertifikat und Lebenszyklus

KeenAuth beschafft und erneuert das TLS-Zertifikat für Sie. Ein Zertifikat wird erneuert, wenn weniger als 30 Tage seiner Laufzeit verbleiben. Schlägt die Erneuerung 7 Tage lang fehl, erhalten Sie das Ereignis custom_domain.certificate_renewal_failed und eine E-Mail. Die Zustellung der Ereignisse ist noch nicht verfügbar; sie kommt mit den Webhooks in Phase 6A.

Status	Bedeutung	Nächster Schritt
`pending_dns`	Hinzugefügt; wartet auf die TXT- und CNAME-Einträge	Beide gesehen: `issuing`
`issuing`	Zertifikat wird ausgestellt	Ausgestellt: `active`. CAA-Sperre: `pending_dns` mit `caa_blocked`. Nicht innerhalb von 72 Stunden ausgestellt: `pending_dns` mit `certificate_failed`
`active`	In Betrieb	Eine fehlgeschlagene tägliche Prüfung: `degraded`
`degraded`	Der TXT- oder CNAME-Eintrag fehlt seit einem Tag oder länger; die Domain wird weiterhin ausgeliefert	Behoben: `active`. Sieben Tage nicht behoben: `disabled`
`disabled`	Außer Betrieb; das Zertifikat wird gelöscht und Sitzungen auf diesem Host werden ungültig	Sie starten neu mit `:verify`: `pending_dns`
`released`	Die Domain oder die Umgebung wurde gelöscht	Nach 30 Tagen Quarantäne kann der Name erneut hinzugefügt werden

Eine aktive Domain wird alle 24 Stunden einmal geprüft. Abonnieren Sie die Ereignisse custom_domain.verified, custom_domain.activated, custom_domain.degraded und custom_domain.disabled, um über Änderungen informiert zu werden. Diese Ereignisse sind noch nicht verfügbar; die Zustellung kommt mit den Webhooks und der Ereignis-API in Phase 6A.

Primäre Domain und Entfernen

Eine Domain der Umgebung ist primär; E-Mail-Links verwenden sie. Ändern Sie sie mit Eigene Domain als primär festlegen. Folgt der Aussteller der Umgebung der primären Domain, ändert das Wechseln der primären Domain auch den Aussteller; dies ist ein geplanter Vorgang, der mindestens 7 Tage im Voraus angesetzt wird.

Eine primäre Domain oder die Domain, die als Aussteller dient, kann nicht gelöscht werden (409 custom_domain_in_use). Wählen Sie zuerst eine andere primäre Domain. Eine Domain, die als passkey-rpId verwendet wird, kann ebenfalls nicht gelöscht oder deaktiviert werden (409 domain_in_use_by_rp_id).

Mehrere Domains in einer Umgebung

Bei Enterprise kann eine Umgebung mehrere verifizierte Domains haben. Jede Domain hat ein eigenes Sitzungscookie, es gibt also kein stilles SSO zwischen Domains. Passkeys über Domains hinweg hängen von der rpId-Wahl und der Liste verwandter Ursprünge ab; diese enthält höchstens 5 Labels registrierter Domains und nur active-Domains derselben Umgebung. Jede Anwendung kann auf jeder Domain ein eigenes Branding haben; siehe Anmeldeseiten branden.