Lets Encrypt: Migració des de TLS-SNI-01

Let's Encrypt és un servei gratuït que genera certificats per protegir el vostre lloc web. Admet la generació de diferents tipus de certificats, inclosos un únic domini i un comodí. A més, disposa de nombrosos mètodes per autenticar el vostre domini per generar un certificat.

• http-01 (HTTP simple)
• dns-01 (validació DNS)
• tls-sni-01(Validació mitjançant l'ús d'un certificat autofirmat, ara obsolet )

La qüestió

Malauradament, el gener de 2018 es va descobrir una vulnerabilitat on es va fer possible generar certificats per a dominis sense autenticació/autorització prèvia. Per exemple, es podrien generar certificats per a dominis que en realitat no són propietaris.

Poc després, el protocol ( tls-sni-01) es va suspendre i la majoria de les noves emissions (nous certificats) es va bloquejar per utilitzar el protocol per autenticar-se.

Canvi a HTTP simple

Canviar a l' http-01autenticació o "HTTP simple" és bastant senzill. Si feu servir certbot-autoper generar els vostres certificats, Let's Encrypt ja haurà generat un certificat nou o ho farà automàticament durant la propera "renovació".

Si utilitzeu certbot, hauríeu d'utilitzar el --preferred-challengeparàmetre:

certbot (...) --prefered-challenge

Això dirà a Let's Encrypt que canviï a http-01.

Canvi a la validació DNS

Si voleu evitar tota aquesta molèstia, és relativament fàcil configurar la validació DNS de Let's Encrypt. Quan executeu certbot, afegiu --preferred-challenges dnscom a paràmetre:

certbot -d example.com --manual --preferred-challenges dns

certbot imprimirà alguna cosa semblant al següent:

Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

(random_string)

Once this is deployed,
Press ENTER to continue

Un cop afegiu el registre amb el vostre proveïdor de DNS, premeu ENTER. Aleshores, haureu de configurar un treball CRON per renovar automàticament el vostre certificat. Com que s'ha utilitzat la validació DNS, no us haureu de preocupar per la redirecció com ho faríeu per a http-01, (port 80a port 443).