Krótszy okres ważności certyfikatów Let's Encrypt: co to oznacza dla Państwa?
Let's Encrypt to bezpłatny wystawca certyfikatów, z którego korzysta większość stron internetowych, również w WebOké. Certyfikat Let's Encrypt jest obecnie ważny 90 dni. Ten okres będzie krótszy, a Let's Encrypt już nie wysyła e-maili z przypomnieniem, gdy certyfikat wkrótce wygasa. Poniżej wyjaśniamy, co się zmienia i co należy zrobić.
Co się zmienia
| Data | Co |
|---|---|
| 4 czerwca 2025 | Let's Encrypt przestaje wysyłać e-maile o wygasających certyfikatach. |
| 13 maja 2026 | Kto sam to wybierze (profil tlsserver), otrzymuje certyfikaty ważne 45 dni. |
| 10 lutego 2027 | Profil domyślny wystawia certyfikaty ważne 64 dni. |
| 16 lutego 2028 | Profil domyślny wystawia certyfikaty ważne 45 dni. |
Również pomyślna weryfikacja nazwy domeny będzie zapamiętywana krócej: od lutego 2027 przez dziesięć dni, od lutego 2028 już tylko przez siedem godzin. Odczują to Państwo przede wszystkim wtedy, gdy wnioskują o certyfikat ręcznie za pomocą rekordu DNS: ten krok trzeba będzie powtarzać częściej.
Let's Encrypt stosuje się w ten sposób do zasad CA/Browser Forum, które obowiązują wszystkich wystawców. Certyfikat o krótszej ważności ogranicza szkody, gdy coś pójdzie nie tak, na przykład w razie wycieku klucza. Skutek dla Państwa: ręczne odnawianie przestaje wchodzić w grę. Musi ono odbywać się automatycznie, a Państwo powinni samodzielnie pilnować, aby przebiegało pomyślnie.
W pakiecie hostingowym: nic nie trzeba robić
W pakiecie hostingowym DirectAdmin wnioskuje o certyfikat i sam go odnawia. Nie muszą Państwo niczego zmieniać. Domena musi jednak nadal wskazywać na nasz serwer, ponieważ Let's Encrypt przy odnawianiu ponownie to sprawdza. Więcej informacji: Certyfikat SSL: aktywacja, odnawianie i rozwiązywanie problemów.
Do kiedy certyfikat jest ważny, sprawdzą Państwo za pomocą narzędzia Stan domeny. Jeśli certyfikat wygasa w ciągu 14 dni, narzędzie zgłosi, że odnowienie jest opóźnione. Prosimy wtedy sprawdzić w DirectAdmin w sekcji SSL Certificates, czy widnieją tam nieudane weryfikacje.
Czy używają Państwo certyfikatu również poza pakietem, na przykład kopiując go ręcznie na inne urządzenie lub do innej usługi? Wkrótce trzeba będzie robić to co kilka tygodni. Lepiej, aby to urządzenie lub ta usługa samodzielnie wnioskowały o certyfikat.
Na VPS: samodzielna konfiguracja i kontrola
Na VPS odnawianie organizują Państwo samodzielnie, za pomocą certbota, Caddy lub klienta ACME używanego oprogramowania. Więcej informacji: nginx z certyfikatem Let's Encrypt oraz Caddy: strona internetowa z automatycznym https. W przypadku certbota prosimy sprawdzić następujące kwestie:
- Sprawdzić, czy timer odnawiania istnieje i działa:
systemctl list-timers 'certbot*'
- Przeprowadzić próbne odnowienie. Nie powoduje ono wystawienia prawdziwego certyfikatu:
sudo certbot renew --dry-run
Jeśli zakończy się komunikatem, że wszystkie symulacje się powiodły, odnawianie działa. - Czy serwer WWW wczytuje również nowy certyfikat? Z wtyczką dla nginx certbot załatwia to sam. Jeśli używają Państwo
certbot certonly, należy ustawić deploy hook, który przeładuje serwer WWW. - Aktualizować klienta ACME ze źródła pakietów. Let's Encrypt zaleca ARI (ACME Renewal Information): dzięki temu Let's Encrypt sam informuje, kiedy certyfikat należy odnowić.
Czy przygotowali Państwo własny skrypt lub wpis cron, który odnawia certyfikat na przykład co 60 dni? Przestanie to działać, gdy certyfikaty będą ważne krócej. Prosimy pozwolić klientowi samodzielnie decydować, kiedy nadszedł czas na odnowienie, i sprawdzać to co najmniej raz dziennie.
VPS i wszystkim, co na nim działa, zarządzają Państwo samodzielnie. My pomagamy w zakresie części WebOké: panelu, sieci i snapshotów.
Monitorowanie daty wygaśnięcia
Ponieważ e-maile z przypomnieniem nie są już wysyłane, sam Let's Encrypt zaleca monitorowanie, czy odnawianie przebiega pomyślnie. Usługa monitorowania, która odczytuje datę wygaśnięcia certyfikatu i ostrzega, gdy zostało mniej niż 14 dni, w porę wychwyci odnowienie, które po cichu się nie powiodło. Więcej informacji: Monitorowanie strony internetowej: dostępność, certyfikat i domena.
Dalsza lektura
- Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, po angielsku)
- Expiration Notification Service Has Ended (Let's Encrypt, po angielsku)
Chcą Państwo dowiedzieć się więcej? Zapraszamy na bezpłatny kurs VPS i administracja serwerem Linux, lekcja 7.3 https z Let's Encrypt.