Şifreleyelim: TLS-SNI-01den Geçiş

• Sorun
• Basit HTTP'ye Geçme
• DNS doğrulamasına geçme

Let's Encrypt, web sitenizi güvence altına almak için sertifika üreten ücretsiz bir hizmettir. Tek etki alanı ve joker karakter dahil olmak üzere farklı türde sertifikalar oluşturulmasını destekler. Ayrıca, bir sertifika oluşturmak için alan adınızı doğrulamak için çeşitli yöntemler vardır.

• http-01 (Basit HTTP)
• dns-01 (DNS doğrulaması)
• tls-sni-01(Kendinden imzalı bir sertifika kullanılarak doğrulama - artık kullanımdan kaldırıldı )

Sorun

Ne yazık ki, 2018'in Ocak ayında, önceden kimlik doğrulama / yetkilendirme olmadan alanlar için sertifika oluşturmanın mümkün olduğu bir güvenlik açığı keşfedildi. Örneğin, gerçekte sahip olmadığınız alan adları için sertifikalar oluşturulabilir.

Kısa bir süre sonra, protokol ( tls-sni-01) kullanımdan kaldırıldı ve çoğu yeni düzenlemenin (yeni sertifikalar) kimlik doğrulaması için protokolü kullanması engellendi.

Basit HTTP'ye Geçme

http-01"Basit HTTP" kimlik doğrulamasına geçiş yapmak oldukça basittir. certbot-autoSertifikalarınızı oluşturmak için kullanıyorsanız , Let's Encrypt zaten yeni bir sertifika oluşturmuş olacak veya bunu bir sonraki "yenileme" sırasında otomatik olarak yapacaktır.

Kullanıyorsanız certbot, şu --preferred-challengeparametreyi kullanmalısınız :

certbot (...) --prefered-challenge

Bu Şifrelemeye geçelim http-01.

DNS doğrulamasına geçme

Tüm bu zorluklardan kaçınmak istiyorsanız, Let's Encrypt'in DNS doğrulamasını yapılandırmak nispeten kolaydır. Yürütürken parametre olarak certbotekleyin --preferred-challenges dns:

certbot -d example.com --manual --preferred-challenges dns

certbot aşağıdakine benzer bir şey basacaktır:

Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

(random_string)

Once this is deployed,
Press ENTER to continue

Kaydı DNS sağlayıcınızla ekledikten sonra düğmesine basın ENTER. Ardından sertifikanızı otomatik olarak yenilemek için bir CRON işi ayarlamanız gerekir. DNS doğrulaması kullanıldığından, yeniden yönlendirmeyle ilgili olarak endişelenmenize gerek kalmayacaktır http-01(bağlantı 80noktasından bağlantı noktasına 443).