Let's Encrypti sertifikaatide lühem kehtivusaeg: mida see sinu jaoks tähendab?

Let's Encrypt on tasuta sertifikaatide väljastaja, mida kasutab enamik veebisaite, ka WebOké juures. Let's Encrypti sertifikaat kehtib praegu 90 päeva. See aeg lüheneb ja Let's Encrypt ei saada enam meeldetuletuskirju, kui sertifikaat hakkab aeguma. Siit loed, mis muutub ja mida pead tegema.

Mis muutub

Ka domeeninime eduka kontrolli tulemust mäletatakse lühemat aega: alates 2027. aasta veebruarist kümme päeva, alates 2028. aasta veebruarist vaid seitse tundi. Seda märkad eelkõige siis, kui taotled sertifikaati käsitsi DNS-kirje kaudu: siis pead seda sammu sagedamini kordama.

Let's Encrypt järgib sellega CA/Browser Forumi reegleid, mis kehtivad kõigile väljastajatele. Lühema kehtivusega sertifikaat piirab kahju, kui midagi läheb valesti, näiteks kui võti lekib. Mida see sulle tähendab: käsitsi uuendamine ei ole enam võimalik. See peab käima automaatselt ja pead ise jälgima, et see õnnestub.

Majutuspaketis: midagi pole vaja teha

Majutuspaketi puhul taotleb DirectAdmin sertifikaadi ja pikendab seda ise. Selleks ei pea sa midagi muutma. Küll aga peab su domeen jätkuvalt meie serverile osutama, sest Let's Encrypt kontrollib pikendamisel uuesti, kas see nii on. Vaata SSL-sertifikaadi aktiveerimine, uuendamine ja probleemide lahendamine.

Kui kaua su sertifikaat kehtib, näed tööriistaga Domeeni tervis. Kui sertifikaat aegub 14 päeva jooksul, annab tööriist teada, et uuendamine on maha jäänud. Siis vaata DirectAdminis jaotises SSL Certificates, kas seal on ebaõnnestunud kontrolle.

Kas kasutad sertifikaati ka väljaspool oma paketti, näiteks kopeerid selle käsitsi teise seadmesse või teenusesse? Siis pead seda edaspidi tegema iga paari nädala tagant. Parem lase sellel seadmel või teenusel ise sertifikaat taotleda.

VPS-is: korralda ja kontrolli ise

VPS-is korraldad uuendamise ise, kasutades certbotit, Caddyt või oma tarkvara ACME-klienti. Vaata nginx koos Let's Encrypti sertifikaadiga ja Caddy: veebisait automaatse https-iga. Certboti puhul kontrolli järgmist:

1. Vaata, kas uuendamise taimer on olemas ja töötab:

   systemctl list-timers 'certbot*'

2. Tee prooviuuendus. See ei taotle päris sertifikaati:

   sudo certbot renew --dry-run

   Kui see lõpeb teatega, et kõik simulatsioonid õnnestusid, siis uuendamine töötab.
3. Kas su veebiserver laadib ka uue sertifikaadi? nginxi pistikprogrammiga korraldab certbot selle ise. Kui kasutad käsku certbot certonly, seadista deploy hook, mis su veebiserveri uuesti laadib.
4. Hoia oma ACME-klient paketiallika kaudu ajakohasena. Let's Encrypt soovitab ARI-t (ACME Renewal Information): selle abil ütleb Let's Encrypt ise, millal sertifikaati tuleb uuendada.

Kas oled teinud oma skripti või cron-rea, mis uuendab näiteks iga 60 päeva järel? See läheb valesti niipea, kui sertifikaadid kehtivad lühemat aega. Lase kliendil ise otsustada, millal on aeg, ja lase tal kontrollida vähemalt kord päevas.

VPS-i ja kõike, mis seal töötab, haldad ise. Meie aitame WebOké poolega: paneel, võrk ja hetktõmmised.

Jälgi aegumiskuupäeva

Kuna meeldetuletuskirju enam ei tule, soovitab Let's Encrypt ise jälgida, kas uuendamine õnnestub. Seireteenus, mis loeb su sertifikaadi aegumiskuupäeva ja hoiatab, kui jäänud on vähem kui 14 päeva, avastab vaikselt ebaõnnestunud uuenduse õigel ajal. Vaata Veebisaidi seire: kättesaadavus, sertifikaat ja domeen.

Loe edasi

• Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, inglise keeles)
• Expiration Notification Service Has Ended (Let's Encrypt, inglise keeles)

Tahad rohkem teada? Läbi tasuta kursus VPS ja Linuxi serveri haldus, õppetund 7.3 https Let's Encryptiga.