Como Obter Certificados SSL Wildcard Gratuitos do Let’s Encrypt

Hoje em dia, uma grande parte do tráfego da Web é criptografada usando HTTPS. Está se tornando cada vez mais comum, especialmente desde a introdução do Let’s Encrypt, uma Autoridade de Certificação (CA) apoiada pelas principais empresas do setor. O Let’s Encrypt fornece certificados SSL / TLS totalmente gratuitos com validade de 90 dias.

Geralmente, os certificados estão vinculados a um ou mais nomes de domínio específicos, portanto, se você tiver um certificado para “www.example.com”, só poderá usá-lo com esse nome de domínio exato. Por outro lado, os certificados curinga são emitidos para um nome de domínio pai e podem ser usados ​​com qualquer subdomínio do domínio pai. Por exemplo, um certificado curinga para * .example.com pode ser usado para “www.example.com,” “account.example.com,” “mail.example.com,” etc. Certificados curinga, portanto, trazem o benefício de apenas ter que obter e renovar um único certificado para todos os seus subdomínios presentes e futuros.

Veja como obter um certificado curinga para um nome de domínio registrado em Let’s Encrypt no Ubuntu, Debian e outras distribuições baseadas em Debian.

1. Instalando acme.sh

O Let’s Encrypt usa o protocolo Automated Certificate Management Environment (ACME) para verificar se você possui seu nome de domínio e para emitir / renovar certificados. Acme.sh é um cliente ACME popular implementado em script de shell. Para instalá-lo, primeiro você precisa instalar o git:

sudo apt update
sudo apt install -y git

Baixe o repositório do github:

git clone https://github.com/Neilpang/acme.sh.git

Digite o diretório clonado e inicie o script de instalação:

cd acme.sh/
./acme.sh --install

Recarregue sua sessão de shell para começar a usar acme.sh:

exec bash

2. Usando acme.sh para emitir certificados curinga.

Para que o Let’s Encrypt emita um certificado curinga, você deve resolver um desafio baseado em DNS conhecido como Validação de Domínio (DV). O Acme.sh se integra convenientemente às APIs de muitos dos principais provedores de DNS e automatiza completamente esse processo.

Cloudflare

Se você estiver usando o serviço DNS da Cloudflare, faça login em sua conta e copie sua chave API global. Salve-o como uma variável de ambiente em seu sistema:

export CF_Key="your_cloudflare_api_key"
export CF_Email="your_cloudflare_email_address"

Agora você pode solicitar um certificado curinga:

acme.sh --issue --dns dns_cf -d '*.example.org'

NameCheap

Se você estiver usando servidores de nomes NameCheap, siga suas instruções sobre como habilitar o acesso à APIe exporte as variáveis ​​necessárias:

export NAMECHEAP_SOURCEIP="your_server_ip"
export NAMECHEAP_USERNAME="your_namecheap_username"
export NAMECHEAP_API_KEY="your_namecheap_api_key"

Solicite um certificado curinga:

acme.sh --issue --dns dns_namecheap -d '*.example.org'

DigitalOcean

Se o seu domínio usa o DNS da DigitalOcean, siga suas instruções sobre como criar um token de acesso pessoal com permissões de leitura e gravação. Exporte sua chave / token de API:

export DO_API_KEY="your_digitalocean_api_token"

Solicite um certificado curinga:

acme.sh --issue --dns dns_dgon -d '*.example.org'

Vai Papai

Se o seu domínio usa o DNS do GoDaddy, copie sua chave e segredo de API. Exporte-os para o seu ambiente:

export GD_Key="your_godaddy_api_key"
export GD_Secret="your_godaddy_api_secret"

Solicite um certificado curinga:

acme.sh --issue --dns dns_gd -d '*.example.org'

Vultr

Se você estiver usando o DNS do Vultr, você precisará seu token de acesso pessoal ou um sub-perfil com privilégios “Gerenciar DNS”.

export VULTR_API_KEY="your_vultr_api_key"

Solicite um certificado curinga:

acme.sh --issue --dns dns_vultr -d '*.example.org'

RackSpace

Se estiver usando RackSpace, você precisará de seu nome de usuário e chave API. Exporte-os conforme mostrado abaixo:

export RACKSPACE_Username="your_rackspace_username"
export RACKSPACE_Apikey="your_rackspace_api_key"

Solicite um certificado curinga:

acme.sh--issue --dns dns_rackspace -d '*.example.org'

Processo Manual

Se você não quiser ou não puder usar a API fornecida por seu fornecedor de DNS, pode criar manualmente um registro DNS para completar o desafio de validação de domínio, embora também precise repetir este processo manual regularmente para renovar seu domínio.

acme.sh --issue --dns --yes-I-know-dns-manual-mode-enough-go-ahead-please -d '*.example.org'

Este comando exibirá um token de verificação que você terá que adicionar como um registro TXT do DNS.

Copie o token e faça login no painel de controle do DNS. Crie um novo registro DNS do tipo TXT para o _acme-challenge subdomínio e cole o token.

Aguarde alguns minutos para que o novo registro se torne acessível e solicite o certificado:

acme.sh --renew --yes-I-know-dns-manual-mode-enough-go-ahead-please -d '*.example.org'

Localizações de arquivos

Você encontrará seu certificado e outros arquivos relevantes no diretório “.acme.sh” em sua pasta pessoal.

• O próprio certificado é salvo como “~ / .acme.sh / *. Example.org/*.example.org.cer.”
• A chave do certificado é salva como “~ / .acme.sh / *. Example.org/*.example.org.key.” Este arquivo deve ser mantido privado e nunca compartilhado.
• O arquivo de certificado fullchain, que é o que você provavelmente usará, é salvo como “~ / .acme.sh / *. Example.org/fullchain.cer.” Este arquivo combina seu certificado com o da autoridade emissora (conhecido como certificado intermediário).

Siga as etapas acima e você poderá obter um certificado de domínio curinga Let’s Encrypt.