Phenquestions
Drošs internets tagad ir ikviena pieprasījums. Mēs dodam priekšroku HTTPS, nevis HTTP, jo HTTPS savienojumi tiek nodrošināti ar SSL. Datus, kas nosūtīti, izmantojot HTTPS, nevar redzēt trešās vai vidējās puses. Dati ir šifrēti, un tikai reālais klients un serveris var redzēt datus sākotnējā nešifrētā formā. Mūsdienās meklētājprogrammas piešķir drošākām vietnēm arī lielāku prioritāti, tādējādi palīdzot SEO.
Ikviens var izveidot SSL sertifikātu ar dažām komandrindām vai ar pāris peles klikšķiem. Bet, lai sertifikāts būtu uzticams, tam ir jāsniedz kādai atzītai sertifikātu iestādei. Sertifikāta iegūšanas procesam nepieciešams laiks un nauda. Dažreiz izmaksas ir ļoti augstas atkarībā no sertifikāta izdevējas iestādes un jūsu prasībām.
Jūs varētu šifrēt datus starp savu tīmekļa lietojumprogrammu un galalietotājiem, pats izveidojot sertifikātus. Bet domēnu un serveru sistēmu pasaulē viss nenotiek. Jūsu sertifikāts ir jāapstiprina kādai uzticamai trešai pusei. Bet procesam nevajadzētu būt sarežģītam, ja piekļuve internetam tā nav. Mēs arī neesam gatavi maksāt šīs papildu izmaksas par sertifikāta iegūšanu, ko mēs paši varētu izgatavot bez maksas.
Bet dienas beigās mēs nevaram apiet šīs trešās puses. Tīmekļa pārlūkprogrammas un citas klientu lietojumprogrammas neuzticas mūsu pašu izgatavotajiem sertifikātiem. Viņi uzticas tiem, kurus nodrošina un paraksta trešās personas, kuras sauc par sertifikātu pārvaldēm. Mums ir risinājums mūsu problēmai. Ir sertifikātu pārvalde (CA) ar nosaukumu Let's Encrypt, kas nodrošina bez problēmām (procesā) un bez maksas TLS / SSL sertifikātus. Jūs vienkārši pieprasāt sertifikātu savai vietnei, izmantojot dažādas metodes, kas parādītas šajā apmācībā, lai iegūtu bezmaksas sertifikātus saviem domēniem, un esat gatavs doties. Atšķirībā no citiem, Let's Encrypt piedāvātie sertifikāti ir jāatjaunina ik pēc trim mēnešiem (precīzi 90 dienas). Varat palaist kādu skriptu savā serverī vai VPS, lai pēc kāda laika automātiski atjauninātu sertifikātu, lai pārvaldītu šo atjaunošanas problēmu.
Šifrējam sertifikāta iegūšana
Ja mitināt savu vietni VPS vai platformā, kur jums ir piekļuve čaulai, sertifikātu varat iegūt pie oficiālā Certbot ACME klienta. Ja atrodaties koplietošanas mitināšanas vidē, jūsu mitināšanas pakalpojumu sniedzējam ir jānodrošina automatizēts atbalsts sertifikātu Šifrēšana. Populārākie dalītā mitināšanas pakalpojumu sniedzēji nodrošina atbalstu Encrypt sertifikātiem un automātiski atjauno sertifikātu. Ja jūsu mitināšanas pakalpojumu sniedzējs tam nenodrošina automatizētu atbalstu, varat to sazināties ar viņu. Turklāt lielākajai daļai mitināšanas pakalpojumu sniedzēju administratora panelī ir dažas vietas, kur varat augšupielādēt sertifikātu failus. Pārbaudiet, kurā kategorijā ietilpstat, un dodieties atbilstoši.
Certbot šifrēsim klientu
Certbot ir vispopulārākais klients Let's Encrypt. Tas ir pieejams lielākajā daļā galveno Linux distros. Šeit es parādīju, kā instalēt Certbot Ubuntu mašīnā. Lai iegūtu jaunāko certbot versiju, pievienojiet ppa repozitoriju ar šādu komandu.
sudo add-apt-repository ppa: certbot / certbot
Atjauniniet jauno izmaiņu pakotņu sarakstu:
sudo apt-get atjauninājums
Tagad instalējiet certbot kopā ar tā apache un nginx spraudņiem:
sudo apt-get install certbot python-certbot-apache python-certbot-nginx
Certbot var automātiski izgūt un konfigurēt Apache un Nginx sertifikātus. Pieņemsim, ka vēlaties izgūt sertifikātu vietnei www.piemērs.com un atjauniniet Apache konfigurāciju. Jums vienkārši jāizpilda šāda komanda.
sudo certbot --apache -d www.piemērs.com
Certbot uzdos jums dažus nepieciešamos jautājumus, izpildīs izaicinājumu un izgūs jums sertifikātu. Tas atjauninās Apache tīmekļa servera konfigurāciju un pārlādēs Apache. Lai pārbaudītu, vai lietas darbojas pareizi, apmeklējiet vietni https: // www.piemērs.com.
Atjaunot sertifikātus
Šifrēsim sertifikāti ir derīgi tikai 90 dienas. Tātad sertifikāti jāatjaunina vairākas reizes gadā. Ir ļoti viegli atjaunināt sertifikātus ar certbot. Izpildiet šīs komandas, lai atjauninātu visu sertifikātu serverī:
sudo certbot atjaunot
Bet tas nav labs veids, kā to manuāli atjaunināt. Ja izmantojat pārvaldītu / koplietotu mitināšanu un šai platformai ir iebūvēts atbalsts, lai atjauninātu šifrēšanas sertifikātus, jums nekas nav jādara ar rokām. Kad jūs to darāt VPS, speciālā serverī vai kādā sistēmā, kurā jums ir piekļuve čaulai, varat izmantot cron, lai periodiski automatizētu šo uzdevumu.
Izmantosim šifrēšanu ar citiem klientiem
ACME ir atvērts protokols. Tam ir arī laba dokumentācija. Lai šifrētu sertifikātus, ir daudz klientu, un daudzi tiek izstrādāti. Ja jums ir interese attīstīt klientu, to varat izdarīt vienkārši savā veidā. Ja jūs zināt mazliet Python, varat apskatīt certbot avota kodu un izveidot sev pielāgotu kodu. Let's Encrypt vietnē ir arī ACME klientu saraksts.
Apmeklējiet šo saiti, lai iegūtu sarakstu un izlemtu, kuru alternatīvo risinājumu vēlaties izmantot. Gandrīz nevienā no tiem nav visa saldā certbota. Bet dažiem no tiem ir dažas unikālas iezīmes, kas jūs var pievilināt. Turklāt, ja esat programmētājs un jums ir dažas unikālas prasības, mēģiniet to īstenot pats.
Manuālā metode
Daži mitināšanas pakalpojumu sniedzēji atļauj augšupielādēt sertifikātus tikai manuāli. Tādā gadījumā jums ir manuāli jāizgūst sertifikāti no Encrypt un augšupielādējiet tos, izmantojot mitināšanas administratora informācijas paneli (vai jebkuru citu mehānismu, ko tie nodrošina). Lai izgūtu sertifikāta failu, jāizmanto “manuālais” certbot spraudnis un jānorāda parametrs “certonly”. Izmantojot manuālo metodi, jums jāpierāda, ka domēns, kuram pieprasāt sertifikātu, patiešām ir jūsu. Spraudnis var izmantot vai nu http, dns, vai tls-sni izaicinājumu. Jūs varat izmantot -vēlamie izaicinājumi iespēja izvēlēties sev vēlamo izaicinājumu. Ja vēlaties http metodi, tad jums tiks lūgts ievietot kādu failu ar noteiktu saturu kādā jūsu vietnes / tīmekļa servera direktorijā. Lai iegūtu sertifikātu, pārbaudiet īpašumtiesības un atbildiet uz citiem jautājumiem.
certbot certonly - rokasgrāmata
Varat arī norādīt komandrindas parametrus, lai piekristu pakalpojumu sniegšanas noteikumiem un atjaunotu sertifikātu.
Kad tev nepaveicas
Daži mitināšanas pakalpojumu sniedzēji nekādā veidā nevar pievienot šos papildu “s” jūsu “http” - es domāju, ka tie nenodrošina iespēju pievienot ssl sertifikātus. Dažiem jums manuāli jāaugšupielādē sertifikātu faili. Viens piemērs ir Google App Engine, bet otrs - OpenShift. Bet ir grūti atkārtoti augšupielādēt sertifikātu ik pēc 90 dienām. Dažreiz jūs varat aizmirst. Atkal, ja jums ir vairāk nekā viena vai divas vietnes, visticamāk, jūs to aizmirsīsit. Turklāt, ja komandrindas jums nav ērti vai nav ērti strādāt ar serveriem, izmantojot SSH čaulas, jums atkal ir neveiksmīgi.
Secinājums
Let's Encrypt ir padarījis tīmekļa pārziņu dzīvi vieglāku, nodrošinot iespēju sertifikātus iegūt uzreiz, nevis gaidīt apstiprinājumu no CA pēc pieprasījuma iesniegšanas. Vēl viens ieguvums ir tas, ka jūs to visu saņemat bez maksas. Ar visu labu, atcerieties atjaunināt sertifikātu pirms katrām 90 dienām. Pretējā gadījumā jūsu lietotāji var saņemt sarkanu signālu un tā rezultātā jūs varat zaudēt daļu auditorijas / klientu. Varat arī atjaunot sertifikātu ik pēc dažām dienām, taču tas var sasniegt ierobežojumu, un sertifikātu kādu laiku var neatjaunot. Tāpēc esiet piesardzīgs, izmantojot tik lielisku pakalpojumu.
