Consente di crittografare: migrazione da TLS-SNI-01

• Il problema
• Passa a HTTP semplice
• Passare alla convalida DNS

Let's Encrypt è un servizio gratuito che genera certificati per proteggere il tuo sito web. Supporta la generazione di diversi tipi di certificati, inclusi dominio singolo e caratteri jolly. Inoltre, ha numerosi metodi per autenticare il tuo dominio per generare un certificato.

• http-01 (HTTP semplice)
• dns-01 (Convalida DNS)
• tls-sni-01(Convalida mediante l'uso di un certificato autofirmato - ora deprecato )

Il problema

Sfortunatamente, nel gennaio del 2018 è stata scoperta una vulnerabilità in cui è stato possibile generare certificati per domini senza previa autenticazione / autorizzazione. Ad esempio, è possibile generare certificati per domini di cui non si possiede effettivamente.

Poco dopo, il protocollo ( tls-sni-01) è stato sospeso e la maggior parte delle nuove emissioni (nuovi certificati) è stata bloccata dall'uso del protocollo per l'autenticazione.

Passa a HTTP semplice

Il passaggio http-01all'autenticazione o "Simple HTTP" è abbastanza semplice. Se si utilizza certbot-autoper generare i certificati, Let's Encrypt avrà già generato un nuovo certificato o lo farà automaticamente durante il prossimo "rinnovo".

Se stai usando certbot, dovresti usare il --preferred-challengeparametro:

certbot (...) --prefered-challenge

Questo dirà a Let's Encrypt di passare a http-01.

Passare alla convalida DNS

Se vuoi evitare tutto questo fastidio, è relativamente facile configurare la convalida DNS di Let's Encrypt. Durante l'esecuzione certbot, aggiungere --preferred-challenges dnscome parametro:

certbot -d example.com --manual --preferred-challenges dns

certbot stamperà qualcosa di simile al seguente:

Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

(random_string)

Once this is deployed,
Press ENTER to continue

Dopo aver aggiunto il record con il tuo provider DNS, premi ENTER. Sarà quindi necessario impostare un processo CRON per rinnovare automaticamente il certificato. Poiché è stata utilizzata la convalida DNS, non dovrai preoccuparti del reindirizzamento come faresti http-01, (da porta 80a porta 443).