Бесплатный SSL-сертификат Let’s Encrypt в ISPmanager

Бесплатный сертификат Let’s Encrypt позволяет открывать сайт по HTTPS без предупреждения о недоверенном сертификате. Выпуск выполняется в разделе SSL-сертификаты панели ISPmanager.

Перед выпуском

• Добавьте сайт в ISPmanager. Если его ещё нет, используйте инструкцию по созданию сайта.
• Направьте домен и все включённые в сертификат псевдонимы на IP вашей услуги. Проверьте записи A и, если используется IPv6, AAAA. Запись, ведущая на другой сервер, может помешать проверке.
• Для обычной проверки сайт должен быть доступен из интернета по HTTP. Защита паролем, правила блокировки и перенаправления не должны мешать запросам к /.well-known/acme-challenge/.

Выпуск сертификата

1. Откройте SSL-сертификаты, нажмите Добавить сертификат и выберите Let’s Encrypt.
2. Оставьте включённым Включить SSL-сертификат, чтобы панель подключила полученный сертификат к сайту. Опцию для почтового домена выбирайте только при настройке его почты.
3. В поле Домен выберите сайт. Имя сертификата можно оставить предложенным панелью.
4. Проверьте поле Доменное имя. Оставьте только адреса, которые должны входить в сертификат и уже направлены на услугу. Адреса с www и без него считаются разными именами.
5. Укажите свой действующий адрес в поле Почтовый ящик. Для обычного сертификата оставьте выключенными Wildcard сертификат и Проверка через DNS.
6. Нажмите Выпустить. Не создавайте повторные заявки, пока текущая ещё обрабатывается.

Рисунок 1. Цифрой 1 отмечено подключение сертификата к сайту, цифрой 2 выбор домена, имени сертификата и доменных имён, цифрой 3 почтовый адрес, цифрой 4 кнопка «Выпустить».

Как проверить результат

В списке сертификатов выделите созданную запись и нажмите Журнал. Дождитесь сообщения Let’s Encrypt сертификат успешно получен. Во время выпуска панель может временно показывать самоподписанный сертификат. Это ещё не означает, что заявка завершилась ошибкой.

Рисунок 2. Цифрой 1 отмечено сообщение об успешном получении сертификата, цифрой 2 кнопка «Полный журнал».

Откройте сайт по https:// и проверьте каждый адрес, включённый в сертификат. Если сайт открывается без предупреждения, можно включить перенаправление с HTTP на HTTPS.

Если выпуск не завершился

Прочитайте последнюю ошибку в журнале сертификата. Проверьте DNS всех указанных имён, доступность сайта по HTTP и правила доступа к папке проверки. После исправления причины повторите выпуск. Если центр сертификации сообщил об ограничении количества запросов, соблюдайте указанный срок ожидания.

Для проверки ответов сайта используйте журналы доступа и ошибок. При обращении в поддержку приложите домен, время попытки и текст ошибки из журнала сертификата. Приватный ключ отправлять не нужно.

Если браузер не доверяет сертификату

Проверьте, что в настройках сайта выбран полученный сертификат, а не самоподписанный. Имя открываемого сайта должно входить в сертификат, срок его действия не должен истечь. Если включён прокси CDN, браузер может видеть сертификат CDN, а не сертификат сервера.

Не предлагайте посетителям обходить предупреждение браузера. Сначала устраните причину. Для уже выпущенного сертификата используйте инструкцию по подключению SSL к сайту.

Сертификат для всех поддоменов

Wildcard-сертификат для *.example.com требует проверки через DNS. Он подходит для поддоменов одного уровня, например blog.example.com, но не заменяет отдельное имя example.com и не покрывает a.blog.example.com. Для автоматического выпуска и продления панель должна иметь возможность обновлять проверочные DNS-записи в действующей зоне. Если DNS обслуживается у другого провайдера, заранее согласуйте способ проверки с поддержкой.