Kratšia platnosť certifikátov Let's Encrypt: čo to znamená pre vás?

Let's Encrypt je bezplatný vydavateľ certifikátov, ktoré používa väčšina webových stránok, aj vo WebOké. Certifikát od Let's Encrypt je teraz platný 90 dní. Táto doba sa skráti a Let's Encrypt už neposiela pripomienkové e-maily, keď sa blíži koniec platnosti certifikátu. Tu sa dočítate, čo sa mení a čo je potrebné urobiť.

Čo sa mení

Aj úspešné overenie vášho doménového mena sa bude uchovávať kratšie: od februára 2027 desať dní, od februára 2028 už len sedem hodín. Prejaví sa to najmä vtedy, keď o certifikát žiadate ručne cez DNS záznam: tento krok potom musíte opakovať častejšie.

Let's Encrypt tým nasleduje pravidlá CA/Browser Forum, ktoré platia pre všetkých vydavateľov. Certifikát s kratšou platnosťou obmedzuje škody, ak sa niečo pokazí, napríklad pri úniku kľúča. Dôsledok pre vás: ručné obnovovanie už neprichádza do úvahy. Obnovovanie musí prebiehať automaticky a je potrebné sledovať, či sa darí.

Vo vašom hostingovom balíku: nie je potrebné nič robiť

Pri hostingovom balíku DirectAdmin požiada o certifikát a automaticky ho predlžuje. Nemusíte na to nič meniť. Vaša doména však musí naďalej smerovať na náš server, pretože Let's Encrypt to pri predlžovaní znova overuje. Pozrite si Aktivácia a obnovenie SSL certifikátu a riešenie problémov.

Do kedy je váš certifikát platný, zistíte pomocou nástroja Zdravie domény. Ak platnosť vyprší do 14 dní, nástroj ohlási, že obnovenie mešká. V takom prípade skontrolujte v DirectAdmin v časti SSL Certificates, či tam nie sú neúspešné overenia.

Používate certifikát aj mimo svojho balíka, napríklad preto, že ho ručne kopírujete do iného zariadenia alebo inej služby? Potom to budete čoskoro musieť robiť každých pár týždňov. Radšej nastavte, aby si toto zariadenie alebo služba žiadali o certifikát samostatne.

Na VPS: vlastné nastavenie a kontrola

Na VPS máte obnovovanie vo vlastnej réžii, pomocou certbot, Caddy alebo ACME klienta vášho softvéru. Pozrite si nginx s certifikátom od Let's Encrypt a Caddy: webová stránka s automatickým https. Pri certbot skontrolujte nasledovné:

1. Overte, či časovač na obnovovanie existuje a beží:

   systemctl list-timers 'certbot*'

2. Vykonajte skúšobné obnovenie. Nežiada o skutočný certifikát:

   sudo certbot renew --dry-run

   Ak skončí hlásením, že všetky simulácie boli úspešné, obnovovanie funguje.
3. Načítava váš webový server aj nový certifikát? S pluginom pre nginx to certbot zariadi automaticky. Ak používate certbot certonly, nastavte deploy hook, ktorý webový server znova načíta.
4. Udržiavajte svojho ACME klienta aktualizovaného cez repozitár balíkov. Let's Encrypt odporúča ARI (ACME Renewal Information): pomocou neho Let's Encrypt priamo oznámi, kedy treba certifikát obnoviť.

Máte vlastný skript alebo riadok v crone, ktorý obnovuje napríklad každých 60 dní? To zlyhá, len čo budú certifikáty platiť kratšie. Nechajte klienta, aby sám určil, kedy je čas, a nech kontroluje aspoň raz denne.

VPS a všetko, čo na ňom beží, je vo vašej správe. My pomáhame s časťou WebOké: panelom, sieťou a snapshotmi.

Sledujte dátum vypršania platnosti

Keďže pripomienkové e-maily už neprichádzajú, Let's Encrypt sám odporúča sledovať, či obnovovanie funguje. Monitorovacia služba, ktorá číta dátum vypršania platnosti vášho certifikátu a upozorní, keď zostáva menej ako 14 dní, včas zachytí potichu zlyhané obnovenie. Pozrite si Monitorovanie webovej stránky: dostupnosť, certifikát a doména.

Ďalšie čítanie

• Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, anglicky)
• Expiration Notification Service Has Ended (Let's Encrypt, anglicky)

Chcete sa dozvedieť viac? Absolvujte bezplatný kurz Správa VPS a linuxových serverov, lekcia 7.3 https s Let's Encrypt.