Certyfikaty ACME: automatyczne wystawianie i odnawianie SSL

Jak działa ACME krok po kroku?

ACME to standard komunikacji między klientem ACME, czyli oprogramowaniem administrującym certyfikatami, a urzędem certyfikacji. Nie jest nazwą wystawcy ani osobnym rodzajem szyfrowania. Podstawę protokołu opisuje RFC 8555.

1. Wskazujesz domenyKlient łączy się z wybranym wystawcą. Zakres obejmuje konkretne nazwy, np. example.com i www.example.com.
2. Potwierdzasz kontrolęWystawca sprawdza odpowiedź udostępnioną przez HTTP albo rekord DNS.
3. Otrzymujesz certyfikatKlient przygotowuje żądanie, pobiera certyfikat i przekazuje go do skonfigurowanego instalatora.
4. Odnawiasz automatycznieHarmonogram sprawdza termin i uruchamia kolejne wystawienie odpowiednio wcześnie.

Wydanie certyfikatu i uruchomienie go na stronie to dwa różne etapy. Po instalacji należy sprawdzić certyfikat rzeczywiście prezentowany przez HTTPS. Sam status „wydany” nie potwierdza jeszcze, że serwer korzysta z nowej wersji.

HTTP-01 czy DNS-01?

HTTP-01 wykorzystuje odpowiedź pod wskazaną ścieżką na serwerze WWW. Nazwa domeny musi kierować do właściwego serwera, a dostęp do weryfikacji nie może być blokowany. DNS-01 wykorzystuje rekord TXT pod nazwą _acme-challenge. Przy automatycznych odnowieniach klient potrzebuje odpowiedniej integracji DNS; ręczne wpisywanie rekordu przy każdej walidacji nie daje pełnej automatyzacji.

Dla certyfikatu wildcard w Let's Encrypt używa się DNS-01. W innych usługach trzeba również potwierdzić obsługiwaną metodę i zakres produktu. Szczegóły: rodzaje wyzwań ACME. Wildcard *.example.com nie zastępuje osobnego wpisu dla example.com.

Rok usługi nie oznacza jednego certyfikatu na rok

Odnowienie techniczne nie jest nowym zakupem kolejnego roku. Nie przedłuża też rejestracji domeny. Przed końcem opłaconej usługi sprawdź warunki jej kontynuacji; aktywny klient ACME nie zastępuje płatności ani zgody na dalszy okres. Długość życia pojedynczego certyfikatu zależy od wystawcy i produktu, dlatego należy odczytywać rzeczywistą datę jego ważności.

W Hostilli przy aktywnej subskrypcji ACME rozróżniamy termin usługi od ważności wydanego certyfikatu. Nie utożsamiaj działającego HTTPS z opłaceniem kolejnego okresu. Gdy planujesz przedłużenie lub zmianę zakresu domen, skontaktuj się z nami przed końcem usługi.

Darmowy SSL, AutoSSL i komercyjne ACME

ACME może obsługiwać zarówno darmowe, jak i płatne certyfikaty. Let's Encrypt jest przykładem wystawcy korzystającego z tego protokołu. Certyfikat komercyjny nie staje się automatycznie silniejszy kryptograficznie tylko dlatego, że jest płatny; wybór zależy także od walidacji, zakresu nazw, wsparcia i warunków produktu. Zobacz opis działania Let's Encrypt.

AutoSSL w cPanel to mechanizm zarządzający certyfikatami konta hostingowego, a nie synonim dowolnej subskrypcji ACME. Sprawdź domeny i wyniki walidacji w cPanel → SSL/TLS Status. Nie usuwaj działającego certyfikatu tylko po to, by uruchomić automat. Dokumentacja: SSL/TLS Status i AutoSSL.

W komercyjnym modelu CaaS, czyli Certificate as a Service, domeny i uprawnienia są powiązane z usługą dostawcy. Do jej podłączenia może być potrzebne EAB. Sectigo opisuje CaaS oddzielnie od tradycyjnego, ręcznego zamawiania certyfikatu.

Jak przygotować wdrożenie w Hostilli?

1. Przygotuj pełną listę nazw: domenę główną, www, pozostałe subdomeny lub wildcard. Sprawdź, czy wszystkie obejmuje wybrana usługa.
2. Ustal, gdzie działa strona i gdzie zarządzasz DNS. Hosting WWW i DNS mogą być u różnych operatorów.
3. Dla aktywnej usługi ACME sprawdź w panelu klienta, w sekcji SSL, jej szczegóły i okres. Dane podłączenia dotyczą konkretnej usługi.
4. Dobierz klienta, walidację i sposób instalacji. Podłączenie na własnym serwerze wymaga zgodnego oprogramowania; instalację zarządzaną przez Hostillę uzgodnij ze wsparciem dla wskazanego konta.
5. Po uruchomieniu sprawdź HTTPS i zaplanowane odnowienia. Po zmianie DNS, hostingu lub hasła integracji ponownie sprawdź działanie automatu.

EAB wiąże konto klienta ACME z uprawnieniami u dostawcy. Identyfikator EAB, klucz HMAC i adres serwera są danymi konfiguracji, a nie hasłem do panelu Hostilli. Chroń klucz HMAC i prywatny klucz certyfikatu; nie umieszczaj ich w publicznym kodzie strony ani zgłoszeniu bez zabezpieczenia. Zobacz konfigurację klienta Sectigo.

Co sprawdzić, gdy certyfikat się nie odnawia?

Sprawdź kolejno datę końca usługi, listę nazw, odpowiedź walidacji, uprawnienia integracji DNS oraz działanie harmonogramu. Przy HTTP-01 zwróć uwagę na zmianę adresu serwera lub blokadę ścieżki weryfikacji. Po udanym wystawieniu sprawdź instalator i przeładowanie właściwej usługi.

Nie wymuszaj wielu kolejnych wystawień w ciemno. Najpierw odczytaj komunikat błędu i ustal, który etap nie przeszedł. Harmonogram i instalacja zależą od klienta; przykładem jest mechanizm odnawiania Certbot. Do zgłoszenia podaj domenę, termin wygaśnięcia, czas błędu i komunikat bez sekretów. Wsparcie Hostilli pomoże dobrać dalsze kroki.