Kraće trajanje Let's Encrypt certifikata: što to znači za Vas?
Let's Encrypt je besplatni izdavatelj certifikata koji koristi većina web-stranica, pa tako i u WebOkéu. Certifikat tvrtke Let's Encrypt trenutačno vrijedi 90 dana. To razdoblje postaje kraće, a Let's Encrypt više ne šalje podsjetnike e-poštom kada certifikat uskoro istječe. Ovdje možete pročitati što se mijenja i što trebate učiniti.
Što se mijenja
| Datum | Što |
|---|---|
| 4 juni 2025 | Let's Encrypt prestaje slati e-poruke o certifikatima koji istječu. |
| 13 mei 2026 | Tko to sam odabere (profil tlsserver), dobiva certifikate od 45 dana. |
| 10 februari 2027 | Standardni profil izdaje certifikate od 64 dana. |
| 16 februari 2028 | Standardni profil izdaje certifikate od 45 dana. |
I uspješna provjera Vaše domene pamti se kraće: od veljače 2027. deset dana, a od veljače 2028. samo sedam sati. To ćete najviše primijetiti ako certifikat zatražite ručno putem DNS zapisa: taj ćete korak tada morati češće ponavljati.
Let's Encrypt time slijedi pravila foruma CA/Browser Forum, koja vrijede za sve izdavatelje. Certifikat s kraćim rokom valjanosti ograničava štetu ako nešto pođe po zlu, primjerice ako procuri ključ. Posljedica za Vas: ručna obnova više nije opcija. Obnova mora biti automatska, a Vi sami morate pratiti da uspijeva.
Na Vašem hosting paketu: ne trebate ništa učiniti
Na hosting paketu DirectAdmin zatražuje certifikat i sam ga obnavlja. Za to ne morate ništa mijenjati. Vaša domena ipak mora i dalje upućivati na naš poslužitelj, jer Let's Encrypt pri obnovi ponovno provjerava je li tako. Pogledajte Aktivacija i obnova SSL certifikata te rješavanje problema.
Do kada Vaš certifikat vrijedi, možete vidjeti pomoću alata Zdravlje domene. Ako istječe unutar 14 dana, alat će javiti da obnova kasni. U tom slučaju u DirectAdminu pod SSL Certificates provjerite postoje li neuspjele provjere.
Koristite li certifikat i izvan svog paketa, primjerice zato što ga ručno kopirate na neki drugi uređaj ili uslugu? Tada ćete to uskoro morati raditi svakih nekoliko tjedana. Bolje je da taj uređaj ili usluga sami zatraže certifikat.
Na VPS-u: sami postavite i provjerite
Na VPS-u obnovu postavljate sami, pomoću certbota, Caddyja ili ACME klijenta svog softvera. Pogledajte nginx s certifikatom tvrtke Let's Encrypt i Caddy: web-stranica s automatskim https-om. Uz certbot provjerite sljedeće:
- Provjerite postoji li timer za obnovu i radi li:
systemctl list-timers 'certbot*'
- Napravite probnu obnovu. Ona ne zatražuje pravi certifikat:
sudo certbot renew --dry-run
Ako završi porukom da su sve simulacije uspjele, obnova radi. - Učitava li Vaš web-poslužitelj i novi certifikat? S dodatkom za nginx certbot to rješava sam. Koristite li
certbot certonly, postavite deploy hook koji ponovno učitava Vaš web-poslužitelj. - Redovito ažurirajte svoj ACME klijent putem repozitorija paketa. Let's Encrypt preporučuje ARI (ACME Renewal Information): pomoću njega Let's Encrypt sam javlja kada certifikat treba obnoviti.
Jeste li napravili vlastitu skriptu ili cron zapis koji obnavlja, primjerice, svakih 60 dana? To neće raditi čim certifikati budu kraće valjani. Neka klijent sam odluči kada je vrijeme, i neka provjerava barem jednom dnevno.
VPS i sve što na njemu radi upravljate sami. Mi pomažemo s dijelom koji pripada WebOkéu: upravljačkom pločom, mrežom i snimkama (snapshots).
Pratite datum isteka
Budući da podsjetnici e-poštom više ne stižu, Let's Encrypt i sam preporučuje praćenje uspijeva li obnova. Usluga nadzora koja očitava datum isteka Vašeg certifikata i upozorava kada ostane manje od 14 dana na vrijeme će otkriti obnovu koja je tiho propala. Pogledajte Nadzor Vaše web-stranice: dostupnost, certifikat i domena.
Dodatno čitanje
- Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, na engleskom)
- Expiration Notification Service Has Ended (Let's Encrypt, na engleskom)
Želite naučiti više? Pohađajte besplatni tečaj VPS i upravljanje Linux poslužiteljem, lekcija 7.3 https uz Let's Encrypt.