TLS automático em *.dmzgate.com — como o Lets Encrypt + GoDaddy DNS-01 funciona nos bastidores

Quando você cria um tunnel HTTP no painel, ele já nasce com https://seu-tunnel.dmzgate.com servindo certificado válido emitido pela Lets Encrypt. Sem warning de browser, sem auto-assinado, sem você ter que rodar certbot. Quem fez isso?

Esse post é meio interno — para quem se interessa por infra. Quem só usa pode pular.

O problema

Lets Encrypt emite certificados via dois desafios: HTTP-01 e DNS-01. O HTTP-01 exige que o servidor responda em uma URL específica do domínio — não dá pra automatizar por subdomínio dinâmico (cada tunnel é um subdomínio diferente). O DNS-01 exige criar um TXT na zona DNS.

Para emitir um certificado wildcard (*.dmzgate.com), só o DNS-01 funciona.

A solução

O domínio dmzgate.com está hospedado no DNS da GoDaddy, que tem API. Cada nó (spo1, usa1, eur1, asi1) tem um hook automatizado:

/usr/local/bin/godaddy-auth.sh    # cria o TXT _acme-challenge
/usr/local/bin/godaddy-cleanup.sh  # remove depois

Quando o certbot vai renovar (60 dias antes do vencimento), ele chama o hook, a GoDaddy recebe um PUT na API, o TXT aparece, o Lets Encrypt valida, certificado novo, hook limpa o TXT. Tudo automatizado.

Por que GoDaddy e não Cloudflare?

O domínio superdmz.com em si usa Cloudflare para DNS (com nodes A records). Mas o dmzgate.com (subdomínio dos clientes) está na GoDaddy porque era de outro registrar antes — e migrar significaria fazer todos os clientes atualizarem seus apontamentos. Não vale a pena.

Renovação

Cada nó renova de forma independente, no seu próprio certbot.timer do systemd. O cert vence em 90 dias e a renovação dispara aos 60. Hoje (junho 2026) o cert mais antigo da frota tem 18 dias de uso — todos sincronizados durante o último deploy de paridade Linux/macOS.