Vamos a cifrar: migrando desde TLS-SNI-01

• La cuestión
• Cambiar a HTTP simple
• Cambiar a la validación de DNS

Let's Encrypt es un servicio gratuito que genera certificados para proteger su sitio web. Admite la generación de diferentes tipos de certificados, incluidos dominios únicos y comodines. Además, tiene numerosos métodos para autenticar su dominio para generar un certificado.

• http-01 (HTTP simple)
• dns-01 (Validación de DNS)
• tls-sni-01(Validación mediante el uso de un certificado autofirmado, ahora en desuso )

La cuestión

Desafortunadamente, se descubrió una vulnerabilidad en enero de 2018 donde se hizo posible generar certificados para dominios sin autenticación / autorización previa. Por ejemplo, se podrían generar certificados para dominios que en realidad no posee.

Poco después, el protocolo ( tls-sni-01) se suspendió y la mayoría de las nuevas emisiones (nuevos certificados) no pudieron usar el protocolo para autenticarse.

Cambiar a HTTP simple

Cambiar a http-01autenticación "HTTP simple" es bastante simple. Si está utilizando certbot-autopara generar sus certificados, Let's Encrypt ya habrá generado un nuevo certificado o lo hará automáticamente durante la próxima "renovación".

Si está usando certbot, debe usar el --preferred-challengeparámetro:

certbot (...) --prefered-challenge

Esto le dirá a Let's Encrypt para cambiar http-01.

Cambiar a la validación de DNS

Si desea evitar toda esta molestia, es relativamente fácil configurar la validación DNS de Let's Encrypt. Al ejecutar certbot, agregue --preferred-challenges dnscomo parámetro:

certbot -d example.com --manual --preferred-challenges dns

certbot imprimirá algo similar a lo siguiente:

Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

(random_string)

Once this is deployed,
Press ENTER to continue

Una vez que agregue el registro con su proveedor de DNS, presione ENTER. Luego, deberá configurar un trabajo CRON para renovar automáticamente su certificado. Como se ha utilizado la validación de DNS, no tendrá que preocuparse por la redirección como lo haría http-01(puerto 80a puerto 443).