Krajša veljavnost certifikatov Let's Encrypt: kaj to pomeni za Vas?
Let's Encrypt je brezplačni izdajatelj certifikatov, ki ga uporablja večina spletnih mest, tudi pri WebOké. Certifikat Let's Encrypt je zdaj veljaven 90 dni. To obdobje se bo skrajšalo, poleg tega Let's Encrypt ne pošilja več opomnikov po e-pošti, ko certifikat skoraj poteče. Tukaj preberite, kaj se spreminja in kaj morate storiti.
Kaj se spreminja
| Datum | Kaj |
|---|---|
| 4. junij 2025 | Let's Encrypt preneha pošiljati e-pošto o certifikatih, ki potekajo. |
| 13. maj 2026 | Kdor se za to odloči sam (profil tlsserver), dobi certifikate, veljavne 45 dni. |
| 10. februar 2027 | Privzeti profil izdaja certifikate, veljavne 64 dni. |
| 16. februar 2028 | Privzeti profil izdaja certifikate, veljavne 45 dni. |
Tudi uspešno preverjanje Vašega imena domene se bo hranilo krajši čas: od februarja 2027 deset dni, od februarja 2028 le še sedem ur. To boste opazili predvsem, če certifikat zahtevate ročno prek zapisa DNS: ta korak boste morali ponavljati pogosteje.
Let's Encrypt s tem sledi pravilom foruma CA/Browser Forum, ki veljajo za vse izdajatelje. Certifikat s krajšo veljavnostjo omeji škodo, če gre kaj narobe, na primer pri razkritem ključu. Posledica za Vas: ročno podaljševanje ni več mogoče. Potekati mora samodejno, sami pa morate spremljati, ali uspeva.
Na Vašem paketu gostovanja: ni Vam treba storiti ničesar
Pri paketu gostovanja DirectAdmin certifikat zahteva in ga samodejno podaljšuje. Pri tem Vam ni treba ničesar spreminjati. Vaša domena pa mora še naprej kazati na naš strežnik, saj Let's Encrypt ob podaljšanju ponovno preveri, ali je tako. Glejte Aktiviranje in podaljšanje certifikata SSL ter odpravljanje težav.
Do kdaj je Vaš certifikat veljaven, vidite z orodjem Zdravje domene. Če poteče v 14 dneh, orodje sporoči, da podaljšanje zaostaja. V tem primeru v DirectAdminu pri SSL Certificates preverite, ali so navedena neuspešna preverjanja.
Ali certifikat uporabljate tudi zunaj svojega paketa, na primer ker ga ročno kopirate na drugo napravo ali v drugo storitev? Potem boste to morali kmalu početi vsakih nekaj tednov. Raje naj ta naprava ali storitev sama zahteva certifikat.
Na VPS: sami uredite in preverite
Na VPS podaljševanje uredite sami, s certbotom, Caddyjem ali odjemalcem ACME v svoji programski opremi. Glejte nginx s certifikatom Let's Encrypt in Caddy: spletno mesto s samodejnim https. S certbotom preverite naslednje:
- Preverite, ali časovnik za podaljševanje obstaja in teče:
systemctl list-timers 'certbot*'
- Izvedite poskusno podaljšanje. Ta ne zahteva pravega certifikata:
sudo certbot renew --dry-run
Če se konča s sporočilom, da so vse simulacije uspele, podaljševanje deluje. - Ali Vaš spletni strežnik tudi naloži novi certifikat? Z vtičnikom za nginx to certbot uredi sam. Če uporabljate
certbot certonly, nastavite deploy hook, ki ponovno naloži Vaš spletni strežnik. - Odjemalec ACME redno posodabljajte prek repozitorija paketov. Let's Encrypt priporoča ARI (ACME Renewal Information): z njim Let's Encrypt sam sporoči, kdaj je treba certifikat podaljšati.
Ste ustvarili lasten skript ali vrstico cron, ki podaljšuje na primer vsakih 60 dni? To ne bo več delovalo, ko bodo certifikati veljali krajši čas. Naj odjemalec sam določi, kdaj je čas, in naj preverja vsaj enkrat na dan.
VPS in vse, kar teče na njem, upravljate sami. Pomagamo Vam pri delu WebOké: plošči, omrežju in posnetkih stanja (snapshots).
Spremljajte datum poteka
Ker opomnikov po e-pošti ni več, Let's Encrypt sam priporoča, da spremljate, ali podaljšanje uspeva. Storitev nadzora, ki prebere datum poteka Vašega certifikata in Vas opozori, ko ostane manj kot 14 dni, pravočasno zazna neopazno neuspelo podaljšanje. Glejte Nadzor Vašega spletnega mesta: dosegljivost, certifikat in domena.
Več o tem
- Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, v angleščini)
- Expiration Notification Service Has Ended (Let's Encrypt, v angleščini)
Želite izvedeti več? Sledite brezplačnemu tečaju VPS in upravljanje strežnikov Linux, lekcija 7.3 https z Let's Encrypt.