Установка бесплатных SSL сертификатов от Let's Encrypt, бесплатные wild card сертификаты

[Zero108 124]

Пользуюсь бесплатными сертификатами от Let's Encrypt. Google браузер использовать категорически не рекомендую в силу того, что он сканирует все ваши файлы под предлогом антивирусной проверки и может являться шпионским модулем для различных специальных служб. Данные сертификаты Let's Encrypt предоставляются бесплатно всем желающим. Возможны как обычные ssl сертификаты для доменов второго уровня, так и с недавнего времени сертификаты wild card - для доменов третьего уровня вида *.site.com. Получить сертификат от Let's Encrypt (кроме сертификатов wild card) можно в панели управления ISP Lite 5. Сертификат будет продляться автоматически самой панелью. Если же вам интересно получение сертификата wild card, то это можно сделать самостоятельно на сайте www.sslforfree.com. Краткое руководство такое:

 

1) https://www.sslforfree.com/ - заходите сюда и вставляете домены

 

Для wild card ssl сертификата:

site.com *.site.com

- через пробел

 

Для обычного сертификата:

site.com www.site.com

- через пробел

 

2) Create Free SSL Certificate - кликаете большую зеленую кнопку. Далее кликаете Manually Verify Domain.

 

3) Download all certification - скачиваете сертификат.

 

Если на этом этапе появляется ошибка, значит нужно проверить txt записи на DNS сервере, которые нужно было прописать для подтверждения владения доменом. Записи выдаются на этапе 2.

 

4) Далее закачиваете на сервер полученный zip файл в папку, где у вас будут хранится данные сертификата. Там же создаете файл с названием ssl.sh и запускаете его через консоль командой:

 

sh /home/user/data/ssl/site.com/ssl.sh

 

, где /home/user/data/ssl/site.com/ - путь, где у вас хранятся ssl сертификаты и sh скрипт.

 

Содержимое sh файла скрипта (для систем на nginx):

 

#!bash

cd ${0%/*}

unzip -o sslforfree.zip
cat certificate.crt > cert.crt
echo "" >> cert.crt
cat ca_bundle.crt >> cert.crt

/etc/init.d/nginx reload

 

5) Далее нужно прописать в nginx.conf следующие параметры после server {, где /home/user/data/ssl/site.com/ - путь, где у вас хранятся ssl сертификаты (пункт 4 выше):

 

	server_name site.com *.site.com www.site.com;
ssl on;
   ssl_certificate /home/user/data/ssl/site.com/cert.crt;
   ssl_certificate_key /home/user/data/ssl/site.com/private.key;
   ssl_session_cache  builtin:1000  shared:SSL:10m;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
   ssl_prefer_server_ciphers on;
ssl_ciphers EECDH:+AES256:-3DES:RSA+AES:!NULL:!RC4;
   add_header Strict-Transport-Security "max-age=604800";
ssl_dhparam /etc/ssl/certs/dhparam4096.pem;

 

6) Нужно перезапустить руками nginx, если устанавливаете сертификат впервые или меняете путь в п.5. Делается это в консоли командой

 

servive nginx reatsrt

 

Примечание: Это наиболее простая ручная установка обычных и wild card сертификатов. Через панель ISP Lite 5 можно автоматически установить обычный (не wild card) ssl сертификат. Панель будет продлять его автоматически. При ручной установке всю процедуру придется повторять раз в 3 мес. - равно на столько выдается бесплатный сертификат. Также возможно использование различных автоматических установщиков сертификатов, например, Acme v.2, если ваш ДПС провайдер поддерживает удаленное изменение txt записи домена. Получить техническую поддержку и совет по использованию скриптов для автоматической установки ssl сертификатов от Let's Encrypt можно тут.

Изменено 15 апреля 2018 пользователем Zero108