По-кратък срок на валидност на сертификатите Let's Encrypt: какво означава това за Вас?

Let's Encrypt е безплатният издател на сертификати, който повечето уебсайтове използват, включително при WebOké. Сертификатът от Let's Encrypt в момента е валиден 90 дни. Този срок ще бъде съкратен, а Let's Encrypt вече не изпраща имейли с напомняне, когато даден сертификат е на път да изтече. Тук ще прочетете какво се променя и какво трябва да направите.

Какво се променя

Успешната проверка на Вашето домейн име също ще се помни по-кратко: от февруари 2027 г. десет дни, а от февруари 2028 г. само седем часа. Това ще забележите най-вече, ако заявявате сертификат ръчно чрез DNS запис: тогава ще трябва да повтаряте тази стъпка по-често.

С това Let's Encrypt следва правилата на CA/Browser Forum, които важат за всички издатели. Сертификатът с по-кратка валидност ограничава щетите, ако нещо се обърка, например при изтекъл ключ. Последицата за Вас: ръчното подновяване вече не е вариант. То трябва да става автоматично, а Вие трябва сами да следите дали това е успешно.

На Вашия хостинг пакет: не е нужно да правите нищо

При хостинг пакет DirectAdmin заявява сертификата и го подновява автоматично. За това не е нужно да променяте нищо. Вашият домейн обаче трябва да продължи да сочи към нашия сървър, тъй като при подновяване Let's Encrypt проверява отново дали това е така. Вижте Активиране и подновяване на SSL сертификат и решаване на проблеми.

До кога е валиден Вашият сертификат, можете да видите с Здраве на домейна. Ако изтича в рамките на 14 дни, инструментът ще Ви съобщи, че подновяването изостава. В такъв случай проверете в DirectAdmin в SSL Certificates дали има неуспешни проверки.

Използвате ли сертификата и извън Вашия пакет, например защото го копирате ръчно на друго устройство или в друга услуга? Тогава скоро ще трябва да правите това на всеки няколко седмици. По-добре оставете това устройство или тази услуга сами да заявяват сертификат.

На VPS: уредете и проверявайте сами

На VPS Вие сами уреждате подновяването, с certbot, Caddy или ACME клиента на Вашия софтуер. Вижте nginx със сертификат от Let's Encrypt и Caddy: уебсайт с автоматичен https. Ако използвате certbot, проверете следното:

1. Проверете дали таймерът за подновяване съществува и работи:

   systemctl list-timers 'certbot*'

2. Направете пробно подновяване. То не заявява истински сертификат:

   sudo certbot renew --dry-run

   Ако завърши със съобщение, че всички симулации са успешни, подновяването работи.
3. Зарежда ли Вашият уеб сървър и новия сертификат? С плъгина за nginx certbot урежда това сам. Ако използвате certbot certonly, задайте deploy hook, който презарежда Вашия уеб сървър.
4. Поддържайте Вашия ACME клиент актуален чрез източника на пакети. Let's Encrypt препоръчва ARI (ACME Renewal Information): с него Let's Encrypt сам съобщава кога даден сертификат трябва да бъде подновен.

Създали ли сте собствен скрипт или cron ред, който например подновява на всеки 60 дни? Това ще се провали, щом сертификатите станат с по-кратка валидност. Оставете клиента сам да определя кога е време и го настройте да проверява поне веднъж дневно.

VPS сървърът и всичко, което работи на него, се управлява от Вас. Ние помагаме с частта на WebOké: панела, мрежата и snapshots.

Следете датата на изтичане

Тъй като вече няма да има имейли с напомняне, самият Let's Encrypt препоръчва да следите дали подновяването е успешно. Услуга за мониторинг, която чете датата на изтичане на Вашия сертификат и предупреждава, когато остават по-малко от 14 дни, навреме улавя безшумно провалено подновяване. Вижте Мониторинг на Вашия уебсайт: достъпност, сертификат и домейн.

Допълнителна информация

• Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, на английски)
• Expiration Notification Service Has Ended (Let's Encrypt, на английски)

Искате да научите повече? Преминете безплатния курс VPS и администриране на Linux сървъри, урок 7.3 https с Let's Encrypt.