Durata più breve dei certificati Let's Encrypt: cosa significa per Lei?
Let's Encrypt è l'autorità gratuita che rilascia i certificati utilizzati dalla maggior parte dei siti web, anche presso WebOké. Attualmente un certificato di Let's Encrypt è valido 90 giorni. Questa durata si ridurrà, e Let's Encrypt non invia più e-mail di promemoria quando un certificato sta per scadere. Di seguito trova che cosa cambia e che cosa deve fare.
Che cosa cambia
| Data | Che cosa |
|---|---|
| 4 juni 2025 | Let's Encrypt smette di inviare e-mail sui certificati in scadenza. |
| 13 mei 2026 | Chi lo sceglie (il profilo tlsserver) riceve certificati di 45 giorni. |
| 10 februari 2027 | Il profilo standard rilascia certificati di 64 giorni. |
| 16 februari 2028 | Il profilo standard rilascia certificati di 45 giorni. |
Anche una verifica riuscita del Suo nome di dominio verrà ricordata per meno tempo: da febbraio 2027 dieci giorni, da febbraio 2028 soltanto sette ore. Lo noterà soprattutto se richiede un certificato manualmente tramite un record DNS: in quel caso dovrà ripetere questo passaggio più spesso.
Con questo Let's Encrypt segue le regole del CA/Browser Forum, valide per tutte le autorità di certificazione. Un certificato con validità più breve limita i danni in caso di problemi, come una chiave trapelata. La conseguenza per Lei: il rinnovo manuale non è più un'opzione. Deve avvenire automaticamente, e deve essere Lei a verificare che funzioni.
Sul Suo pacchetto di hosting: nessuna azione necessaria
Con un pacchetto di hosting, DirectAdmin richiede il certificato e lo rinnova automaticamente. Non deve modificare nulla. Il Suo dominio deve però continuare a puntare al nostro server, perché durante il rinnovo Let's Encrypt verifica di nuovo che sia così. Consulti Attivare e rinnovare un certificato SSL e risolvere i problemi.
Fino a quando il Suo certificato è valido lo può vedere con Salute del dominio. Se scade entro 14 giorni, lo strumento segnala che il rinnovo è in ritardo. In tal caso controlli in DirectAdmin, alla voce SSL Certificates, se sono presenti verifiche non riuscite.
Utilizza un certificato anche al di fuori del Suo pacchetto, ad esempio perché lo copia manualmente su un altro dispositivo o servizio? In futuro dovrà farlo ogni poche settimane. È preferibile che quel dispositivo o servizio richieda autonomamente un proprio certificato.
Su un VPS: gestione e controllo a Suo carico
Su un VPS gestisce Lei il rinnovo, con certbot, Caddy o il client ACME del Suo software. Consulti nginx con un certificato di Let's Encrypt e Caddy: un sito web con https automatico. Con certbot verifichi quanto segue:
- Controlli che il timer per il rinnovo esista e sia attivo:
systemctl list-timers 'certbot*'
- Esegua un rinnovo di prova. Non richiede un certificato reale:
sudo certbot renew --dry-run
Se termina con un messaggio che indica che tutte le simulazioni sono riuscite, il rinnovo funziona. - Il Suo web server carica anche il nuovo certificato? Con il plug-in per nginx, certbot se ne occupa da solo. Se utilizza
certbot certonly, configuri un deploy hook che ricarichi il Suo web server. - Mantenga aggiornato il Suo client ACME tramite il repository dei pacchetti. Let's Encrypt consiglia ARI (ACME Renewal Information): in questo modo è Let's Encrypt stesso a indicare quando un certificato deve essere rinnovato.
Ha creato uno script o una riga cron personalizzata che, ad esempio, rinnova ogni 60 giorni? Questo smetterà di funzionare non appena i certificati avranno una validità più breve. Lasci che sia il client a stabilire quando è il momento, e lo faccia controllare almeno una volta al giorno.
Il VPS e tutto ciò che vi è installato sono gestiti da Lei. Noi La aiutiamo per la parte WebOké: il pannello, la rete e gli snapshot.
Monitori la data di scadenza
Poiché non arrivano più e-mail di promemoria, Let's Encrypt stesso consiglia di monitorare che il rinnovo vada a buon fine. Un servizio di monitoraggio che legge la data di scadenza del Suo certificato e La avvisa quando mancano meno di 14 giorni intercetta in tempo un rinnovo fallito silenziosamente. Consulti Far monitorare il Suo sito web: raggiungibilità, certificato e dominio.
Approfondimenti
- Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, in inglese)
- Expiration Notification Service Has Ended (Let's Encrypt, in inglese)
Desidera approfondire? Segua il corso gratuito VPS e gestione di server Linux, lezione 7.3 https con Let's Encrypt.