SSL: автоматичне оновлення
Як працює автоматичне оновлення сертифіката
Як SSL-сертифікат ZRAZU оновлюється на сайті сам: особисте посилання, задача за розкладом на вашому боці і вибір інструкції під свій хостинг.
Сертифікат за підпискою ZRAZU випускається частинами: кожна частина діє обмежений строк (зараз до 200 днів, далі за правилами галузі — менше). Коли настає час наступної частини, ми випускаємо її самі. Щоб новий сертифікат опинився на сайті без вашої участі, його має забрати ваш сервер, хостинг чи хмара — за розкладом, раз на добу.
Що для цього є
- Особисте посилання на сертифікат. У кабінеті, у картці сертифіката, розділ «Встановлення» → «Посилання для сервера». За ним завжди лежить чинний сертифікат підписки:
https://api.zrazu.com/ssl-pull/zsp_ВАШ_ТОКЕН/fullchain.pem(сертифікат разом із проміжними),https://api.zrazu.com/ssl-pull/zsp_ВАШ_ТОКЕН/cert.pemіhttps://api.zrazu.com/ssl-pull/zsp_ВАШ_ТОКЕН/chain.pemокремо. - Ваш закритий ключ лишається у вас. Наступні частини підписки випускаються на той самий ключ, тому ключ кладете один раз, а далі оновлюється лише публічний сертифікат. Посилання ключа не віддає і не приймає.
- Задача за розкладом на вашому боці. Скрипт раз на добу забирає сертифікат за посиланням і, якщо він новий, ставить його. Скрипти — у кожній інструкції нижче.
Ми не просимо паролів від хостингу, ключів від хмари чи закритого ключа сертифіката: ставить сертифікат ваш сервер, а не ми.
Оберіть свій випадок
| Де працює сайт | Чи оновлюється сам | Інструкція |
|---|---|---|
| Свій сервер Linux (nginx, Apache, Caddy, HAProxy, Docker) | так | Сервер Linux |
| Windows Server з IIS | так | Windows і IIS |
| Kubernetes | так | Kubernetes |
| Хостинг із cPanel (Hostiq, Hostpro, Ukrnames, GoDaddy, Namecheap…) | так | cPanel |
| AWS: балансувальник, CloudFront, API Gateway | так | AWS |
| Azure: Application Gateway, App Service, Front Door | так | Azure |
| Google Cloud: балансувальник із Certificate Manager | так | Google Cloud |
| Cloudflare перед сайтом | залежить від тарифу | Cloudflare |
| Хостинг з панеллю без API: hosting.ua (adm.tools), Cityhost, Mirohost, ISPmanager, Plesk, DirectAdmin, Hostinger, Hetzner | вручну, ми нагадаємо | Панелі хостингу |
| Конструктор сайтів: Tilda, Wix, Shopify, Prom, Horoshop… | наш сертифікат там не потрібен | Конструктори |
Не знаєте, що у вас? Відкрийте будь-яку інструкцію і скопіюйте промт для ШІ: він спитає про ваш хостинг і поведе далі.
Як переконатися, що все працює
- У картці сертифіката біля посилання видно, коли ваш сервер востаннє забирав сертифікат і чи забрав він чинний.
- Перевірка сайту: https://zrazu.com/tools/ssl/example.com/ показує, який сертифікат віддає сайт і до якої дати він діє.
- Після кожної нової частини ми надсилаємо лист. Якщо за кілька днів сайт усе ще віддає старий сертифікат, отже задача на сервері не спрацювала: відкрийте журнал задачі (у кожній інструкції сказано, де він).
Безпека посилання
- Посилання віддає лише публічний сертифікат — той самий, що сайт показує кожному відвідувачу. Та все ж не публікуйте його: хто має посилання, той бачить, коли ваш сервер його забирає.
- Посилання показуємо один раз, у базі зберігаємо лише його відбиток. Загубили чи засвітили — у картці «Нове посилання»: старе одразу перестане працювати, у скрипті замініть адресу.
- Посилання діє до кінця підписки. Невідоме, вимкнене чи прострочене посилання відповідає однаково — «не знайдено» (404).