Schritt-für-Schritt Anleitung: Wildcard-Zertifikate auf der Synology NAS automatisch erstellen mit acme.sh – Tipps & Tricks

Wenn auf der Synology mehr als ein Dienst sauber erreichbar sein soll, wird ein einzelnes Zertifikat schnell nervig. Genau dafür sind Wildcard-Zertifikate praktisch: eine Domain, viele Subdomains, ein sauberer HTTPS-Standard. Wenn du die NAS-Grundlagen noch nicht stehen hast, lies zuerst Was ist eine NAS? Einfach erklärt – und welche für Einsteiger 2026 sinnvoll ist und Synology NAS einrichten 2026: eigene Cloud, Backups und DSM sauber starten.

Ich nutze das vor allem für Setups mit Reverse Proxy, mehreren Webdiensten, Smart-Home-Oberflächen und sauberem Fernzugriff. Wenn dein Zugriff von außen zusätzlich über dynamische IPs oder einen separaten Proxmox-Host läuft, ist der DDNS-Updater auf Proxmox der passende Anschlussartikel.

Wann ich acme.sh auf der Synology bevorzuge

• du willst *.deinedomain.tld statt jedes Zertifikat einzeln zu pflegen
• du betreibst mehrere Subdomains für DSM, Reverse Proxy, Home Assistant oder andere Dienste
• du willst Let’s Encrypt automatisiert erneuern, statt Zertifikate manuell nachzuziehen
• du brauchst mehr Kontrolle als das reine DSM-Standardsetup bietet

Wichtig: Wenn du nur eine einzelne interne Oberfläche ohne Subdomains absicherst, ist das hier oft Overkill. Dann reicht das normale DSM-Zertifikat in vielen Fällen. Wildcard lohnt sich vor allem, wenn dein Setup wächst oder schon mehrere Dienste trägt.

Voraussetzungen

• SSH-Zugriff auf die Synology NAS
• eigene Domain
• DNS-Provider mit API-Zugriff für DNS-01-Challenges
• ein Konto mit genügend Rechten, um DNS-TXT-Records anzulegen

Die Liste der unterstützten DNS-Anbieter findest du in der acme.sh DNS-API-Dokumentation. Für mich ist das der entscheidende Punkt: Wildcard-Zertifikate sind kein „Klick im DSM“-Thema, sondern hängen an sauberer DNS-Automation.

acme.sh installieren

1. Per SSH auf der NAS anmelden und Root-Shell öffnen:
   sudo -i
2. Ins Home-Verzeichnis wechseln:
   cd ~
3. acme.sh laden:
   wget https://github.com/acmesh-official/acme.sh/archive/master.tar.gz
4. Archiv entpacken:
   tar -zxvf master.tar.gz
5. Ins Verzeichnis wechseln:
   cd acme.sh-master
6. Installation starten:
   ./acme.sh --install --nocron --home /usr/local/share/acme.sh --accountemail "[email protected]"

Danach liegt die Installation unter /usr/local/share/acme.sh. Ich halte das bewusst so, weil es sauberer ist als ein wildes Basteln irgendwo im persönlichen Home-Verzeichnis.

Wildcard-Zertifikat per DNS-01 ausstellen

Das eigentliche Herzstück ist die DNS-01-Challenge. Die funktioniert, weil Let’s Encrypt prüft, ob du einen TXT-Eintrag für deine Domain setzen kannst. Genau deshalb ist Wildcard mit DNS-API so angenehm.

Für Cloudflare sieht das zum Beispiel so aus:

export CF_Token="dein_cloudflare_token"
export CF_Account_ID="deine_cloudflare_account_id"

cd /usr/local/share/acme.sh
./acme.sh --issue --dns dns_cf -d highenddigital.de -d '*.highenddigital.de'

Wichtig ist, dass du die Domain durch deine eigene ersetzt und den passenden DNS-Provider-Handler verwendest. Wer hier die Zone falsch wählt oder ein Token mit zu wenig Rechten nutzt, landet sofort in der üblichen Fehlerhölle.

Zertifikat in DSM deployen

Nach dem Issuance muss das Zertifikat noch nach DSM übertragen werden. Dafür nutze ich den Synology-Deploy-Hook:

export SYNO_Username="Admin_Zertifikat"
export SYNO_Password="SuperSicheresKennwort"
export SYNO_Certificate="acme.sh certificate"
export SYNO_PORT="5001"
export SYNO_Create="1"

./acme.sh --deploy --home . -d highenddigital.de --deploy-hook synology_dsm

Danach prüfe ich in DSM unter Systemsteuerung → Sicherheit → Zertifikat, ob das neue Zertifikat wirklich aktiv ist. Das ist der Punkt, an dem viele Leute zu früh Feierabend machen. Exportiert heißt noch nicht live.

Automatische Erneuerung prüfen

acme.sh übernimmt die Erneuerung grundsätzlich selbst, aber ich verlasse mich bei so einem Setup nicht nur auf ein stilles Gefühl. Ein kurzer Verifikationslauf gehört dazu:

/usr/local/share/acme.sh/acme.sh --cron --home /usr/local/share/acme.sh/
/usr/local/share/acme.sh/acme.sh --list

Zusätzlich lege ich in DSM einen geplanten Task an, der das Cron-Verhalten zur passenden Zeit anstößt. Sinnvoll ist eine Uhrzeit, zu der die NAS nicht gerade unter Last steht. Für das Zertifikat selbst gilt: lieber nachts unauffällig erneuern als am Tag mit einem halbgar gepflegten Ablauf.

Typische Fehler, die ich immer wieder sehe

• Falscher DNS-Provider-Handler: Der Befehl passt nicht zum Anbieter.
• Token zu knapp berechtigt: TXT-Records lassen sich nicht setzen.
• Zu ungeduldig: DNS-Propagation dauert manchmal länger als erwartet.
• Nur HTTP-01 im Kopf: Wildcard braucht DNS-01, nicht den Standardweg über Port 80.
• DSM noch nicht umgestellt: Das neue Zertifikat ist ausgestellt, aber nicht dem Dienst zugewiesen.

Wenn dein Setup später Richtung Home-Assistant- oder Smart-Home-Zugriff wächst, hilft dir zur Einordnung auch der Beitrag zu Home Assistant auf Proxmox installieren. Genau da wird das Zusammenspiel aus Zertifikat, Reverse Proxy und interner Netzlogik nämlich relevant.

Fazit

Wildcard-Zertifikate auf der Synology NAS sind kein hübsches Extra, sondern für gewachsene Heimserver-Setups fast Pflicht. Mit acme.sh bekommst du eine robuste Lösung, die DNS-API, Erneuerung und DSM-Deployment sauber zusammenbringt. Das ist deutlich besser als später einzelne Zertifikate manuell zu flicken.

Wenn du die NAS ohnehin als Zentrale für eigene Dienste, Backups oder Smart Home nutzt, lohnt sich dieses Setup sehr. Wer nur eine kleine Einzelinstallation betreibt, kann simpler bleiben — aber sobald mehrere Subdomains im Spiel sind, ist Wildcard die vernünftige Variante.