Автоматизация SSL: сертификаты продлеваются сами

Подписка ACME в CloudHosting работает с любым клиентом, который реализует RFC 8555, то есть стандарт ACME v2, и поддерживает External Account Binding: certbot, acme.sh, Caddy, Traefik, cert-manager и win-acme проверены на практике. Устанавливать какой-то особый агент не нужно, подписка говорит на том же стандартном протоколе, который эти инструменты уже понимают. На практике выбирайте клиент под свою среду: certbot для классического Linux-сервера, Caddy или Traefik, когда сертификатами занимается сам веб-сервер, cert-manager для контейнерных кластеров и win-acme для Windows. Настройка везде одинакова: один раз укажите directory URL и пару EAB, дальше клиент работает сам. Если сомневаетесь, поддерживает ли ваш клиент EAB, загляните в его документацию или напишите в нашу поддержку до заказа.

Подписка ACME в CloudHosting стоит 17.63 EUR в год за домен без НДС, в неё включён 1 SAN. Эта единственная фиксированная плата покрывает всю работу протокола: клиент может выпускать, перевыпускать и продлевать сертификаты так часто, как требует его расписание, и ни одна из этих операций не стоит ничего сверх годовой платы. Когда проект растёт, ту же подписку можно расширить дополнительными SAN на хосты или wildcard, всего до 255; у каждого дополнения своя годовая цена, она указана в каталоге на этой странице. Итог за год складывается просто: базовая плата плюс те дополнения, которые вы реально используете, без учёта по выпускам и без сюрпризов при продлении.

Подписка ACME в CloudHosting выпускает wildcard-записи вида *.example.com через проверку DNS-01, которую ACME требует для любого wildcard. Wildcard-запись закрывает все поддомены одного уровня, поэтому новые поддомены защищены без изменений в сертификате. Чтобы подтвердить контроль над доменом, клиент публикует в его зоне временную TXT-запись, и удостоверяющий центр проверяет её перед выпуском. Большинство клиентов автоматизируют этот шаг плагинами для популярных DNS-провайдеров, поэтому и продление проходит в автоматическом режиме. Практическая деталь: ваш DNS-сервис должен предоставлять API, через который клиент сможет добавлять TXT-запись самостоятельно. Если у вашего DNS-провайдера такого API нет, перед заказом напишите в нашу поддержку, обсудим подходящий вариант.

CloudHosting присылает к каждой подписке ACME пару External Account Binding: ID ключа, он же kid, и HMAC-ключ, они приходят на почту после заказа. EAB это механизм, который связывает ACME-аккаунт с вашей оплаченной подпиской: клиент предъявляет пару один раз, при регистрации своего ACME-аккаунта, и с этого момента каждый запрос сертификата идёт в рамках вашей подписки и с её разрешения. Без EAB любой, кто узнал адрес сервера, мог бы выпускать сертификаты за ваш счёт, именно это механизм и исключает. Относитесь к паре как к паролю: храните её в конфигурации аккуратно, не публикуйте в репозиториях, а при подозрении на утечку свяжитесь с нашей поддержкой.

Подписка ACME в CloudHosting использует тот же протокол ACME v2, что и Let's Encrypt, поэтому привычные клиенты, команды и задания cron работают без переделок: нужно только указать directory URL сервера Sectigo и добавить пару EAB. Платная подписка даёт более длинный срок действия сертификата, до 199 дней против 90 дней и меньше у Let's Encrypt, поэтому продления случаются реже, а сбой автоматизации оставляет больший запас времени. Кроме того, в один сертификат помещается до 255 SAN вместо 100, у вас появляется второй, коммерческий удостоверяющий центр, если не хочется зависеть от одного бесплатного сервиса, и поддержка, которой можно написать, когда что-то в процессе идёт не так.

Подписка ACME в CloudHosting привязана к одному зарегистрированному домену, в неё включён 1 SAN и помещается до 255. Всё, что находится внутри этого домена, может жить в одном сертификате: хосты вроде www, mail или api добавляются как отдельные SAN, а wildcard SAN сразу закрывает целый уровень поддоменов. Отдельный домен, даже принадлежащий той же компании, требует собственной подписки: она заказывается так же и приходит со своим directory URL и своими данными EAB. На практике сервер спокойно ведёт несколько конфигураций ACME параллельно, по одной на домен, и каждая продлевается независимо. Если вы управляете крупным портфелем доменов, напишите в нашу поддержку, поможем спланировать структуру.

С подпиской ACME в CloudHosting вручную делается только разовая настройка, после которой ваш ACME-клиент сам запрашивает, устанавливает и продлевает сертификаты по своему расписанию. Установите клиент, например certbot, acme.sh или Caddy, передайте ему directory URL сервера Sectigo и ваши данные EAB и перечислите хосты, которые должны попасть в сертификат. Дальше клиент сам запрашивает сертификат, кладёт файлы туда, где их ждёт веб-сервер, перезагружает сервис и повторяет весь цикл без участия человека. Единственное, что мы советуем, это иногда заглядывать в журналы клиента после изменений конфигурации: опечатку в новом хосте проще заметить сразу, чем в момент продления.

Неудачная попытка продления по подписке ACME в CloudHosting не означает простой, потому что уже установленный сертификат остаётся валидным до конца своего срока, а ACME-клиенты начинают продление задолго до этой даты. Обычно это оставляет окно в несколько недель, в котором сайт работает нормально, пока вы ищете причину. ACME-клиенты повторяют попытку при следующем запуске по расписанию, поэтому временная проблема часто исчезает сама. Типичные устойчивые причины: истёкший токен DNS API, изменённая запись или межсетевой экран, блокирующий клиент; журналы клиента показывают, на каком шаге процесс остановился. Если найти причину не получается, наша поддержка в рабочие дни с 9:00 до 17:00 по рижскому времени поможет разобраться с настройками.

У CloudHosting два отдельных решения для продления: эта подписка ACME за 17.63 EUR в год за домен и chssl, бесплатный агент для сертификатов, купленных на наших страницах сертификатов на один домен, wildcard и мультидоменных. Подписка ACME с данными EAB даёт вашему ACME-клиенту прямой доступ к Sectigo, поэтому он может по требованию создавать сертификаты для любых хостов внутри вашего домена, что удобно для DevOps-процессов, контейнеров и часто меняющихся систем. chssl работает на Linux-серверах с nginx, Apache или Docker и в оплаченном сроке устанавливает каждый перевыпуск сертификата, купленного в нашем каталоге; ваш закрытый ключ TLS не покидает сервер. Если нужен только сертификат из каталога на обычном веб-сервере, как правило, хватает chssl.