Yet another инструкция по получению ssl-сертификата Let's Encrypt

[@Aiditz]

Но можно еще проще. Не нужно поднимать сервер на 9999 порту, достаточно указать letsencrypt'у, в какой папке будет лежать файл. Конфиг nginx:

location /.well-known/acme-challenge {
root /var/www/letsencrypt/;
}

Генерация сертфиката:

./letsencrypt-auto certonly --webroot -w /var/www/letsencrypt -d domain.com

[@questor]

Тоже неплохой вариант. Вообще, под nginx есть уже и плагин, только на сайте он числится как глубоко экспериментальный. Думаю, что через год запрос сертификата будет действительно намного проще чем сейчас.

[@MrJeos]

Так можно делать даже без правки конфига, если указать папку самого сайта, а не отдельную для letsencrypt.

[@Aiditz]

Не всегда у сайта есть public-директория.

Другой минус: нужно для каждого сайта помнить и указывать путь к public-папке.

А добавить include letsencrypt.conf — универсальный вариант, работающий при любой конфигурации.

[@MrJeos]

Этот include надо ведь прописать в каждой секции server, верно?

[@Aiditz]

Я прописывал в каждой, но может быть можно как-то от этого уйти — я не разбирался, т.к. у меня доменов немного.

[@inkvizitor68sl]

Так sudo понадобится, как раз.

[@jehy]

Только упустили, что получать надо сертификат не у let's encrypt, а у wosign. Провайдер один и тот же, зато на два года, а не на год.

[@jehy]

Кстати, вот прямо сегодняшний пост на эту тему.

[@wait]

LE выдает сертификат на 90 дней. Автопродление рекомендуют каждые 60 дней.

[@rshadow]

Вы предлагаете заменить открытое, автоматизированное, правильное решение на проприетарщину без плюсов, а только с минусами? Интересный подход. Наверно те кто привык к такой «халяве» еще долго будут ломать копья и бегать за скидками =(

[@jehy]

Ну если вы готовы нести в продакшн автоматизированное обновление сертификатов, которое находится в бета версии, и рисковать раз в два месяца — флаг вам в руки.

И считать let's encrypt более открытым, чем его создателей — это просто смешно. Вы так можете считать любое решение на основе API с github открытым. Или вы считаете, что кусок кода с гитхаба вам позволяет как-то отвязаться от центра сертификации?

[@jehy]

Отдельный привет минусующим, которые видимо не знают, как работают SSL сертификаты и их получение. Жалко, конечно, что такой уровень аудитории.

[@rshadow]

> которое находится в бета версии,

Сегодня в бете, завтра нет. На некритичных ресурсах попробовал. Полгода — полет нормальный.

> И считать let's encrypt более открытым, чем его создателей

Это вы уже сами что-то выдумали. Я вижу открытый клиент. Я вижу людей, которые делают опенсорс и их стремление в правильном направлении. Я прекрасно понимаю что private key нельзя выкладывать в опенсорс ;) Что еще надо?
А вы предлагаете в качестве альтернативы закоренелых продавцов ̶в̶о̶з̶д̶у̶х̶а̶ записей в БД. Снизошедших до простых смертных.

[@questor]

Кому любопытно — вывод команды обновления что-то типа:

./letsencrypt-auto renew
Checking for new version...
Upgrading letsencrypt-auto 0.4.2 to 0.6.0...
Replacing letsencrypt-auto...
   cp -p ./letsencrypt-auto /tmp/tmp.JJSUcoV9xI/letsencrypt-auto.permission-clone
   cp /tmp/tmp.JJSUcoV9xI/letsencrypt-auto /tmp/tmp.JJSUcoV9xI/letsencrypt-auto.permission-clone
   mv -f /tmp/tmp.JJSUcoV9xI/letsencrypt-auto.permission-clone ./letsencrypt-auto
Creating virtual environment...
Installing Python packages...
Installation succeeded.
Requesting root privileges to run certbot...
   /root/.local/share/letsencrypt/bin/letsencrypt renew

-------------------------------------------------------------------------------
Processing /etc/letsencrypt/renewal/mydomain.tld.conf
-------------------------------------------------------------------------------

-------------------------------------------------------------------------------
new certificate deployed without reload, fullchain is
/etc/letsencrypt/live/mydomain.tld/fullchain.pem
-------------------------------------------------------------------------------

Congratulations, all renewals succeeded. The following certs have been renewed:
  /etc/letsencrypt/live/mydomain.tld/fullchain.pem (success)

+ Поправил в статье немного строчку запуска обновления.