Trumpesnis Let's Encrypt sertifikatų galiojimo laikas: ką tai reiškia Jums?

Let's Encrypt yra nemokamas sertifikatų išdavėjas, kurio sertifikatus naudoja dauguma svetainių, taip pat ir WebOké. Let's Encrypt sertifikatas šiuo metu galioja 90 dienų. Šis laikotarpis trumpės, be to, Let's Encrypt jau nebesiunčia priminimo laiškų, kai sertifikato galiojimas baigiasi. Čia sužinosite, kas keičiasi ir ką Jums reikia padaryti.

Kas keičiasi

Sėkmingas Jūsų domeno vardo patikrinimas taip pat bus įsimenamas trumpiau: nuo 2027 m. vasario dešimt dienų, o nuo 2028 m. vasario vos septynias valandas. Tai ypač pastebėsite, jei sertifikatą užsakote rankiniu būdu per DNS įrašą: šį žingsnį turėsite kartoti dažniau.

Taip Let's Encrypt laikosi CA/Browser Forum taisyklių, kurios galioja visiems išdavėjams. Trumpiau galiojantis sertifikatas sumažina žalą, jei kas nors nutinka, pavyzdžiui, nutekėjus raktui. Jums tai reiškia, kad atnaujinimas rankiniu būdu nebėra galimas. Jis turi vykti automatiškai, o Jūs patys turite stebėti, ar jis pavyksta.

Jūsų talpinimo planas: nieko daryti nereikia

Turint talpinimo planą, DirectAdmin pats užsako sertifikatą ir jį automatiškai pratęsia. Jums nieko keisti nereikia. Tačiau Jūsų domenas turi ir toliau būti nukreiptas į mūsų serverį, nes Let's Encrypt, pratęsdamas sertifikatą, tai patikrina iš naujo. Žr. SSL sertifikato aktyvavimas, atnaujinimas ir problemų sprendimas.

Iki kada galioja Jūsų sertifikatas, galite pamatyti naudodami Domeno sveikata. Jei jo galiojimas baigiasi per 14 dienų, įrankis praneš, kad atnaujinimas vėluoja. Tokiu atveju DirectAdmin skiltyje SSL Certificates patikrinkite, ar nėra nepavykusių patikrinimų.

Ar naudojate sertifikatą ir už savo plano ribų, pavyzdžiui, rankiniu būdu kopijuojate jį į kitą įrenginį ar kitą paslaugą? Tuomet netrukus tai turėsite daryti kas kelias savaites. Geriau leiskite tam įrenginiui ar paslaugai pačiai užsakyti sertifikatą.

VPS: tvarkote ir tikrinate patys

VPS atveju atnaujinimą tvarkote patys, naudodami certbot, Caddy arba savo programinės įrangos ACME klientą. Žr. nginx su Let's Encrypt sertifikatu ir Caddy: svetainė su automatiniu https. Naudodami certbot, patikrinkite šiuos dalykus:

1. Patikrinkite, ar atnaujinimo laikmatis egzistuoja ir veikia:

   systemctl list-timers 'certbot*'

2. Atlikite bandomąjį atnaujinimą. Jis neužsako tikro sertifikato:

   sudo certbot renew --dry-run

   Jei jis baigiasi pranešimu, kad visos simuliacijos pavyko, atnaujinimas veikia.
3. Ar Jūsų žiniatinklio serveris įkelia ir naują sertifikatą? Su nginx papildiniu certbot tai sutvarko pats. Jei naudojate certbot certonly, sukurkite deploy hook, kuris perkrauna Jūsų žiniatinklio serverį.
4. Atnaujinkite savo ACME klientą per paketų saugyklą. Let's Encrypt rekomenduoja ARI (ACME Renewal Information): naudojant jį, Let's Encrypt pats nurodo, kada sertifikatą reikia atnaujinti.

Ar esate sukūrę savo scenarijų ar cron eilutę, kuri, pavyzdžiui, atnaujina sertifikatą kas 60 dienų? Kai sertifikatai galios trumpiau, tai nebeveiks. Leiskite klientui pačiam nuspręsti, kada laikas atnaujinti, ir nustatykite, kad jis tikrintų bent kartą per dieną.

VPS ir viską, kas jame veikia, administruojate patys. Mes padedame su WebOké dalimi: valdymo skydeliu, tinklu ir momentinėmis kopijomis.

Stebėkite galiojimo pabaigos datą

Kadangi priminimo laiškai nebesiunčiami, pats Let's Encrypt rekomenduoja stebėti, ar atnaujinimas pavyksta. Stebėjimo paslauga, kuri nuskaito Jūsų sertifikato galiojimo pabaigos datą ir įspėja, kai lieka mažiau nei 14 dienų, laiku pastebės be pranešimo nepavykusį atnaujinimą. Žr. Svetainės stebėjimas: pasiekiamumas, sertifikatas ir domenas.

Daugiau informacijos

• Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, anglų k.)
• Expiration Notification Service Has Ended (Let's Encrypt, anglų k.)

Norite sužinoti daugiau? Išklausykite nemokamo kurso VPS ir Linux serverių administravimas pamoką 7.3 https su Let's Encrypt.