SSL-сертификат

1. Введите домены, которые должен покрывать сертификат, по одному на строку. Если сайт открывают и через www., добавьте и его.
2. Выберите, как доказать, что домены ваши: Загрузить файл (сайт уже должен отвечать на 80-м порту) или Добавить DNS-запись (нужно для wildcard вроде *.example.com).
3. Нажмите Получить задание. Для файлов скачайте zip и распакуйте его в корень сайта (public_html, www, htdocs) или скачайте каждый файл в .well-known/acme-challenge/. Для DNS добавьте каждую TXT-запись.
4. Откройте каждую ссылку и убедитесь, что там строка текста, затем нажмите Проверить. Let’s Encrypt сам скачает файлы.
5. Скачайте сертификат, закрытый ключ и CA bundle и вставьте их в панель хостинга. Сохраните ключ до того, как закроете вкладку.

Это тот же ACME-диалог, который certbot ведёт с Let’s Encrypt, только в виде небольшого клиента прямо на этой странице. API Let’s Encrypt принимает запросы из браузеров, поэтому страница общается с ним напрямую: создаёт ключ аккаунта, заказывает сертификат, показывает вам, какое доказательство просит Let’s Encrypt, просит его проверить и, когда проверка прошла, подписывает запрос на сертификат. Платные сервисы «бесплатного SSL» вроде PunchSalad делают те же шаги, и сертификат у них тот же, от Let’s Encrypt.

Что и куда уходит, точно. Let’s Encrypt получает имена доменов, открытый ключ и подписанный запрос, то же самое он получил бы от certbot. Закрытый ключ создаётся через встроенный в браузер Web Crypto API и никуда не отправляется; откройте вкладку Network, и вы увидите только запросы к acme-v02.api.letsencrypt.org. Незаконченный заказ хранится в sessionStorage этой вкладки, чтобы перезагрузка посреди загрузки файлов его не потеряла; закрытие вкладки его стирает. Проверить DNS делает единственный дополнительный запрос: спрашивает TXT-запись у Google Public DNS (dns.google).

Ограничения, честно. Сертификаты Let’s Encrypt живут 90 дней (и в ближайшие годы срок будет сокращаться), а здесь ничего не продлевается само. Поставьте напоминание примерно на 60-й день и возвращайтесь или, если доберётесь до консоли, отдайте это certbot: в гайде по SSL есть оба варианта, а если у хостинга есть кнопка AutoSSL, просто нажмите её. Неудачные проверки ограничены пятью в час на имя, поэтому репетируйте на Staging: там всё то же самое, но с ненастоящим сертификатом и щедрыми лимитами.

Файлы названы так, как их просят панели хостинга. В cPanel, в разделе SSL/TLS → Manage SSL sites, certificate.crt идёт в CRT, private.key в KEY, а ca_bundle.crt в CABUNDLE. Nginx нужны ssl_certificate fullchain.pem; и ssl_certificate_key private.key;. Apache 2.4 принимает SSLCertificateFile fullchain.pem и SSLCertificateKeyFile private.key.