Lets Encrypt: міграція з TLS-SNI-01

Let's Encrypt — це безкоштовний сервіс, який генерує сертифікати для захисту вашого веб-сайту. Він підтримує генерацію різних типів сертифікатів, включаючи однодоменні та підстановкові. Крім того, він має численні методи автентифікації вашого домену для створення сертифіката.

• http-01 (Простий HTTP)
• dns-01 (Перевірка DNS)
• tls-sni-01(Перевірка за допомогою самопідписаного сертифіката – тепер не підтримується )

Питання

На жаль, у січні 2018 року було виявлено вразливість, через яку стало можливим генерувати сертифікати для доменів без попередньої аутентифікації/авторизації. Наприклад, сертифікати можуть бути створені для доменів, якими ви насправді не володієте.

Невдовзі після цього протокол ( tls-sni-01) було припинено, і більшість нових видань (нових сертифікатів) було заблоковано від використання протоколу для аутентифікації.

Перехід на простий HTTP

Перехід на http-01автентифікацію або «Просту HTTP» досить простий. Якщо ви використовуєте certbot-autoдля створення своїх сертифікатів, Let's Encrypt вже створить новий сертифікат або зробить це автоматично під час наступного «оновлення».

Якщо ви використовуєте certbot, ви повинні використовувати --preferred-challengeпараметр:

certbot (...) --prefered-challenge

Це вкаже Let's Encrypt перейти на http-01.

Перехід на перевірку DNS

Якщо ви хочете уникнути всіх цих клопотів, налаштувати перевірку DNS для Let's Encrypt відносно легко. Під час виконання certbotдодайте --preferred-challenges dnsяк параметр:

certbot -d example.com --manual --preferred-challenges dns

certbot надрукує щось подібне до такого:

Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

(random_string)

Once this is deployed,
Press ENTER to continue

Після того, як ви додасте запис у свого постачальника DNS, натисніть ENTER. Потім вам потрібно буде налаштувати завдання CRON, щоб автоматично поновити ваш сертифікат. Оскільки використовується перевірка DNS, вам не доведеться турбуватися про переспрямування, як для http-01, (порт 80до порту 443).