Permite criptografar: migrando do TLS-SNI-01

• O problema
• Mudando para HTTP Simples
• Mudando para validação de DNS

Let's Encrypt é um serviço gratuito que gera certificados para proteger seu site. Ele suporta a geração de diferentes tipos de certificados, incluindo domínio único e curinga. Além disso, possui vários métodos para autenticar seu domínio e gerar um certificado.

• http-01 (HTTP simples)
• dns-01 (Validação de DNS)
• tls-sni-01(Validação através do uso de um certificado autoassinado - agora descontinuado )

O problema

Infelizmente, uma vulnerabilidade foi descoberta em janeiro de 2018, onde se tornou possível gerar certificados para domínios sem autenticação / autorização prévia. Por exemplo, certificados podem ser gerados para domínios que você realmente não possui.

Logo depois, o protocolo ( tls-sni-01) foi descontinuado e a maioria das novas emissões (novos certificados) foi impedida de usar o protocolo para autenticação.

Mudando para HTTP Simples

Mudar para http-01ou a autenticação "HTTP Simples" é bastante simples. Se você estiver usando certbot-autopara gerar seus certificados, o Let's Encrypt já terá gerado um novo certificado ou o fará automaticamente durante a próxima "renovação".

Se você estiver usando certbot, você deve usar o --preferred-challengeparâmetro:

certbot (...) --prefered-challenge

Isso informará o Let's Encrypt para mudar http-01.

Mudando para validação de DNS

Se você deseja evitar todo esse aborrecimento, é relativamente fácil configurar a validação de DNS do Let's Encrypt. Ao executar certbot, adicione --preferred-challenges dnscomo parâmetro:

certbot -d example.com --manual --preferred-challenges dns

certbot imprimirá algo semelhante ao seguinte:

Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

(random_string)

Once this is deployed,
Press ENTER to continue

Depois de adicionar o registro ao seu provedor de DNS, pressione ENTER. Você precisará configurar um trabalho CRON para renovar automaticamente seu certificado. Como a validação de DNS foi usada, você não precisará se preocupar com o redirecionamento como faria para http-01(porta 80a porta 443).