SSL-сертифікати
Файли сертифіката й установка на сервер
Які файли дає ZRAZU після випуску: fullchain, cert, chain. Як зібрати PFX для IIS і Windows і куди їх покласти. Закритий ключ лишається у вас.
Коли сертифікат випущено, його файли доступні в картці. Закритого ключа в нас немає, тому на сервер ставлять два файли: сертифікат від нас і ваш ключ, створений разом із CSR.
Які файли є
Відкрийте картку сертифіката, розділ «Встановлення» або «Файли сертифіката» (кабінет). Файли можуть завантажувати всі ролі організації.
| Файл | Що в ньому | Куди |
|---|---|---|
| fullchain.pem | Ваш сертифікат разом із проміжними | nginx, Apache 2.4.8+, HAProxy, Caddy |
| cert.pem | Лише ваш сертифікат | Якщо ланцюжок задається окремо |
| chain.pem | Лише проміжні сертифікати (CA Bundle) | Якщо ланцюжок задається окремо |
| Архів з інструкцією | Усі три файли та коротка пам’ятка | Коли хочете забрати все разом |
| PFX | Сертифікат, ланцюжок і ваш ключ в одному файлі | IIS і Windows |
Усі файли мають формат PEM, тобто це звичайний текст. Якщо програма просить «ланцюжок» чи «CA Bundle», це chain.pem. Дата випуску входить в ім’я файла, тож нові версії не затирають попередні.
PFX для IIS і Windows
PFX збирається прямо в браузері, ключ нікуди не відправляється.
- У блоці «PFX для IIS і Windows» оберіть файл свого закритого ключа (
.keyабо.pem, до 64 КБ). - Задайте пароль PFX щонайменше з 8 знаків і повторіть його.
- Натисніть «Зібрати PFX» і збережіть файл.
Сучасний шифр (AES-256) читають Windows Server 2019+, IIS 10, Java та OpenSSL. Windows Server 2016 і старіші, а також «Зв’язка ключів» macOS його не прочитають. Для них зберіть PFX на своєму комп’ютері:
openssl pkcs12 -export -legacy -inkey kava.key -in cert.pem -certfile chain.pem -out kava.pfxУстановка і оновлення
- Покладіть
fullchain.pemі свій закритий ключ на сервер. - Вкажіть їх у налаштуваннях веб-сервера і перезапустіть його.
- Перевірте сайт: https://zrazu.com/tools/ssl/example.com/ покаже, який сертифікат віддає сайт і до якої дати він діє. У картці також видно, чи віддає сайт саме цей сертифікат.
Сертифікат за підпискою оновлюється частинами. Щоб новий файл не копіювати вручну, налаштуйте автоматичне оновлення за своїм хостингом: Як працює автоматичне оновлення сертифіката. Якщо вам зручніше certbot чи acme.sh, див. ACME для certbot і acme.sh.
Якщо не вийшло
- «Сертифікат ще не випущено». Файли з’являться після підтвердження домену. Див. Підтвердження домену.
- «Не вдалося отримати файли сертифіката». Оновіть сторінку.
- PFX: «Це не закритий ключ у PEM». Потрібен файл, що починається з
-----BEGIN PRIVATE KEY-----(або RSA/EC PRIVATE KEY). - PFX: ключ під паролем. Зніміть пароль на своєму комп’ютері:
openssl pkey -in key.pem -out open.key, потім оберіть новий файл. - PFX: «Цей ключ від іншого сертифіката». Потрібен ключ, з яким робили CSR саме для цього замовлення.
- Браузер не дає шифрування (WebCrypto). Відкрийте кабінет у свіжому Chrome, Firefox чи Safari.
- Сайт віддає старий сертифікат. Новий файл не підхопився: перезапустіть веб-сервер або перевірте задачу автоматичного оновлення.