無料SSL/TLS証明書 Let's Encrypt Part3
無料の SSL/TLS 証明書Let's Encryptのスレです
【Let's Encrypt 公式サイト】（英語）
https://letsencrypt.org/
【Let's Encrypt 公式Twitter】（英語による最新情報）
https://twitter.com/letsencrypt
【Let's Encrypt 総合ポータル】（日本語）
https://free-ssl.jp/
【Let's Encrypt 導入方法】（日本語）
https://free-ssl.jp/usage/
前スレ
無料SSL/TLS証明書 Let's Encrypt Part2
http://mevius.5ch.net/test/read.cgi/hosting/1508291164/
https://twitter.com/5chan_nel (5ch newer account) >>265
つづき
## 一つは必須、複数ドメインが必要な場合は半角スペースを挟んでここで入力しても良いししなくてもよい
## ここに複数のドメインの記載をしない場合でも、VirtualHostのServerNameとServerAliasに記載したドメインが自動的に追加される(らくちん)
MDomain example.com
## 「RSA ビット数」で1個指定する場合と「暗号名 暗号名」で複数指定するパターンのどちらか(デフォはRSA 2048)
## mod_mdのドキュメントとLet's EncryptのドキュメントとOpenSSLの全てでECDSAの曲線名が違ってて発狂し死に至る危険性があるけど
## secp256r1=P-256=prime256v1(RFC 8422 付録Aを参照)なのでmod_mdのドキュメント表記に従いsecp256r1記載で生成
## RSAしか対応してないかつLet's Encryptのルート証明に対応してるデバイスがあるならrsa2048も追加
MDPrivateKeys secp256r1
## MDDriveModeはMDRenewModeに置き換えられた(互換性のため残ってる)
## デフォで自動的に残り日数33%=Let's Encryptの推奨である60日毎(残り30日)で更新してくれる
#MDRenewMode auto
#MDRenewWindow 33%
終わり acme.shで更新するとどうしてもFirefoxで閲覧できなくなるの改善してほしいわ
デフォルトのルート証明書が古いまま >>267
preferred-chain で回避できるのとは違う問題？ >>267
DV証明書と中間証明書のどちらも期限が同じ日付になってて悩んだことがあったけど
Apache 2.4.8以前
SSLCertificateChainFile 中間CA証明書ファイル
Apache 2.4.8以降
SSLCertificateFile 中間CA証明書、およびクロスルート証明書(オプション)はサーバ証明書と一つの証明書ファイル
のこととか？ 現在、example.com www.example.com で証明書を作成して使っています。
ワイルドカードに変えようと思うのですが、
現在のを revoke かdelete してから取るのが正しい手順でしょうか？
また、何か注意点がありましたらご教示ください。
教えて下さい、偉い人 レスしようと思ったが
全く自分は偉くないことに気がついた
すまん 偉くないから答えられない身分ですが
新しいのを発行、運用開始してからrevokeしないとダウンタイムがあると思います >>270 です。
実は example.com example.org の複数ドメインを一つにした証明書を
使っておりまして、let's のディレクトリには example.com の名称で
登録されていました。
ここで、ワイルドカードを取りに行くと、多分現在の example.com に
上書きされちゃって面倒になると思っていましたがどうなのかな？
ほんで、まずは example.org のワイルドカードを取ってみました。
で、取れたんですが何故か3ヶ月より短い。どうも現在 example.com 名義の
期限がそのまま受け継がれたようです。そういうものなんですかね？
で、example.com をrevoke して、example.com のワイルドカードを
取ったら、ちゃんと今日から3ヶ月でした。
あらかじめ dry-run でテストして多分大丈夫だろうと目星がついたところで
一気にrevoke ワイルドカード取得、各種の reload をやり、ダウンタイムは5分以下だったと
思います。
そのうち、force renew してどちらの期限も同じにしようと思います。
ではでは 自宅サーバで引っ越ししたら証明書更新が出来なくなったんだけどなんで？ Challenge failed for domain hogehoge.com
みたいになりました。 Waiting for verification...
Challenge failed for domain hogehoge.com
http-01 challenge for hogehoge.com
Cleaning up challenges
Attempting to renew cert (hogehoge.com) from /etc/letsencrypt/renewal/hogehoge.com.conf produced an unexpected error: Some challenges have failed.. Skipping.
All renewal attempts failed. The following certs could not be renewed:
/etc/letsencrypt/live/hogehoge.com/fullchain.pem (failure)
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
All renewal attempts failed. The following certs could not be renewed:
/etc/letsencrypt/live/hogehoge.com/fullchain.pem (failure)
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
1 renew failure(s), 0 parse failure(s)
IMPORTANT NOTES:
- The following errors were reported by the server:
Domain: hogehoge.com >>278
取り敢えず
* OS
* ACMEクライアント(certbot?)
* 認証方式 (http-01)
に関する情報を提供するべし
それと
> 自宅サーバで引っ越ししたら
この「引っ越し」って具体的に何をしたの？
ハードの更新？
ハードの物理的orネットワーク的な移動？ http-01のacmeに失敗してるっぽいから
DNSが新しい方に向いてないとか、NAT（ポート開放）がされてないとか
renew用の情報が入ってる hogehoge.com.conf の設定では出来なかった
というニュアンスなのでこのファイルの中を眺めて、何か気付くことがあるかないか acme に対応している国内レジストラ一覧みたいなのどこかに無いかな。
ググったんだけど見つからなかった。 acme に対応しているレジストラ
って何？ 海外ならあるの？
そんな概念が存在してないから検索にヒットしないだけでは・・・ 認証局のことじゃないかと深読み。
もしそうならあるよ。SSL.com とか。企業向けならサイバートラストとか悪名高き GMO、グローバルサインも対応してる。 ごめんなさい、ワイルドカードを取る時の dns-01 や http-01 チャレンジ対応と書いたつもりだった。。。ぺこぺこ おそらく 「無料の」 って言葉は隠れてる （文脈で理解しろ 的な acmeツール次第だけどAPI出してるところは誰かがプラグイン作ってるだろ
API無くてもログインフォームとTXTレコード変更のPOST２回でいける程度の内容だし API使わないと2段階認証解除するしかないのがなあ DNS Provider のリストなら lgeo や acme.sh のドキュメントに載ってる
ttps://go-acme.github.io/lego/dns/
ttps://github.com/acmesh-official/acme.sh/wiki/dnsapi Let’s 証明書、
1 Web Server
2 Mail Server
3 pop/imap Server
4 stunnel
に使っています。
他にこんなのに使えるってあればご教示下さい。 うちはウェブ(apache)とメール(postfix/dovecot)だけだなあ。
と言うか上の方でも同じ質問してなかったか？ECDSAには変えたのけ？ これで作った証明書メールサーバーで使ってるとiOS系から弾かれるとかある？
iPadのメーラーで「サーバの識別情報を検証できません」と出て受信できず、ぐぐったけど解決しない >>297
--preferred-chain 'ISRG Root X1'
関連かな？ リバースプロキシ使った時に
Apple 端末だけ全滅したことあるけど
あれ何が原因だったんだか Chain of Trust(https://letsencrypt.org/certificates/)のページを見ると、ECDSAな認証局証明書であるISRG Root X2とLet’s Encrypt E1はどちらも「Active, limited availability」ということらしいけど、後者で署名されたサーバ証明書って今現在入手できるんだろうか ecdsa にするか悩んでいます。特にデメリットがない様に思うのですが、ecdsa にして困った事があった方ご教示いただけませんか？ >>303
webブラウザだけなら困らないけど
メール関係で ecdsa より rsa のほうが困らない印象
postfix dovecot openvpn とか 無料SLL(ただし有料ドメインが必要です)
と、ちゃんと記載するべきだと思います
景品表示法違反です FreeNOMで取得できる無料ドメイン
DDNSサービスで取れるバリエーション豊かなサブドメイン
でも完全無料SSLを活用させて貰ってるで >>301
https://forms.gle/ftKeqkj6AJgXUDPJ8
ここに申請すると翌週の木曜日頃に
「Let's Encrypt ECDSA Allowlist Confirmation」
ってメールが来てE1から証明書発行してもらえるようになるみたい
https://i.imgur.com/UEFBWtf.png 工エエェェ( Д )⌒Y⌒Y⌒Y⌒Y⌒Y⌒...。....。ｺﾛｺﾛ デフォルトでクロス署名が無い方で証明書が発行されるようになるのが2024/2/8から、
alternate chainでもクロス署名版が取れなくなるのが2024/6/6から、
クロス署名版の期限が切れるのが2024/9/30。
前回騒いでからの間にChromeも独自証明書ストアを持つようになったし、古いAndroidのシェアもこの3年でかなり減ったみたいだから大きな問題は無いのかな？
ちなみに手元で試した限りではAndroid7はサポート切れる直前のChromeなら独自証明書ストア対応、
Android6は同じバージョンのChromeでも対応してなかった。 当時はサポート切れでも現役が多かった泥５がさすがにほぼ消えた
（アップデートできなかったり使えなくなったアプリがかなり増えてきた）
から、ブラウザで〇〇で見れなくなって困る 以前の状況になってる Android 7は 証明書が切れるまでにFirefox Browser入れとけっていうのを見た気がする それはAndroid 7に限らず6とかでも使える手だね。
>311にもあるけど、普通にChromeをアップデートしてれば、Android 7サポート切れ前のバージョンでも
独自証明書ストア対応版なのでIdenTrust DST Root CA X3の有効期限が切れた後でも問題ないはず。
まあ、サポート切れてるChromeを使い続けるのはセキュリティが心配だからFirefox使っとけってのが正しい気はするけど。
と言うか、さすがにそろそろAndroid 7は捨てた方が良い。 certbot renew --dry-runは成功するのにやってみたら失敗する
dry-runの意味ないやんけｗ そりゃ、実際に水入れて放水しないと出ない不具合はいっぱいあるし 
