無料SSL/TLS証明書 Let's Encrypt Part3

無料の SSL/TLS 証明書Let's Encryptのスレです

【Let's Encrypt 公式サイト】（英語）
https://letsencrypt.org/

【Let's Encrypt 公式Twitter】（英語による最新情報）
https://twitter.com/letsencrypt

【Let's Encrypt 総合ポータル】（日本語）
https://free-ssl.jp/

【Let's Encrypt 導入方法】（日本語）
https://free-ssl.jp/usage/

前スレ
無料SSL/TLS証明書 Let's Encrypt Part2
http://mevius.5ch.net/test/read.cgi/hosting/1508291164/
https://twitter.com/5chan_nel (5ch newer account)

ecdsa にするか悩んでいます。特にデメリットがない様に思うのですが、ecdsa にして困った事があった方ご教示いただけませんか？

>>303
webブラウザだけなら困らないけど
メール関係で ecdsa より rsa のほうが困らない印象
postfix dovecot openvpn とか

無料のとこなんてどこにもないんですけどなにか

無料SLL(ただし有料ドメインが必要です)
と、ちゃんと記載するべきだと思います
景品表示法違反です

FreeNOMで取得できる無料ドメイン
DDNSサービスで取れるバリエーション豊かなサブドメイン
でも完全無料SSLを活用させて貰ってるで

>>301
https://forms.gle/ftKeqkj6AJgXUDPJ8

ここに申請すると翌週の木曜日頃に
「Let's Encrypt ECDSA Allowlist Confirmation」
ってメールが来てE1から証明書発行してもらえるようになるみたい

https://i.imgur.com/UEFBWtf.png

>>60
ワレあほけ

工エエェェ(　 Д )⌒Y⌒Y⌒Y⌒Y⌒Y⌒...。....。ｺﾛｺﾛ

デフォルトでクロス署名が無い方で証明書が発行されるようになるのが2024/2/8から、
alternate chainでもクロス署名版が取れなくなるのが2024/6/6から、
クロス署名版の期限が切れるのが2024/9/30。

前回騒いでからの間にChromeも独自証明書ストアを持つようになったし、古いAndroidのシェアもこの3年でかなり減ったみたいだから大きな問題は無いのかな？
ちなみに手元で試した限りではAndroid7はサポート切れる直前のChromeなら独自証明書ストア対応、
Android6は同じバージョンのChromeでも対応してなかった。

当時はサポート切れでも現役が多かった泥５がさすがにほぼ消えた
（アップデートできなかったり使えなくなったアプリがかなり増えてきた）
から、ブラウザで〇〇で見れなくなって困る 以前の状況になってる

Android 7は 証明書が切れるまでにFirefox Browser入れとけっていうのを見た気がする

それはAndroid 7に限らず6とかでも使える手だね。

>311にもあるけど、普通にChromeをアップデートしてれば、Android 7サポート切れ前のバージョンでも
独自証明書ストア対応版なのでIdenTrust DST Root CA X3の有効期限が切れた後でも問題ないはず。

まあ、サポート切れてるChromeを使い続けるのはセキュリティが心配だからFirefox使っとけってのが正しい気はするけど。
と言うか、さすがにそろそろAndroid 7は捨てた方が良い。

certbot renew --dry-runは成功するのにやってみたら失敗する
dry-runの意味ないやんけｗ

そりゃ、実際に水入れて放水しないと出ない不具合はいっぱいあるし

certbotしたら
These files will be updated when the certificate renews.
Certbot has set up a scheduled task to automatically renew this certificate in the background.
と勝手に出て来やがった
調べたらsystemdにcertbot-renew.timerが仕込まれてたわ

デフォルトだとこんな感じだからね
vi /usr/lib/systemd/system/certbot-renew.timer
OnCalendar=*-*-* 00/12:00:00
RandomizedDelaySec=12hours
いろいろ書き替えないと毎日2回実行してくれる

実行してなくてもインストールしただけでそれ入る
rpm -ql certbot
とか
dpkg -L certbot
とかすれば分かる

そうそう。せっかくChatGPTとお話しして自動更新するスクリプトを作ったのに、毎回先取りされるわ。

何で毎日２回なんだ
証明書更新なら週１回が順当だろう
別の意図があって毎日２回なのか？

OpenWrtにはcertbotパッケージがなかった
apacheやnginxはあるのに

>>317
ubuntuだとsnapにも仕込まれるらしいぞ
要注意

パケットフィルタあるから無断で更新しようとしたってエラーになるだけで無駄だぞゴラァ

>>323
迷惑なsnapは全部止める
# snap refresh --hold

DNS-01での確認が失敗してて更新されてなかった
certbotが環境変数にOPENSSL_MODULESを設定しはじめたせいでDNSの_acme-challengeにトークン文字列を設定する自動化スクリプト内でnsupdateがコアダンプ吐いてた
スクリプトにexport -n OPENSSL_MODULESを追加して何とかした
失効する前に気付いてよかた

snap版certbotは自動更新機能があるらしいが、調べてみるとそのたびにWebサーバーの再起動が必要との記事を見つけたんだがマジ？
スクリプト書かなければいけないの？

もうcloudflareの30年自動更新に変えたわ
30年後はもう死んでるだろ

初期のcertbotから自動設定されてるなら連携するhttpサーバにHUP信号送るまで自動かと
マニュアルでやる場合は何から何まで自作必要なのは事実

もうずーっと触ってないから忘れたけど、スクリプトっつったってコマンド羅列するだけっしょ？
ハードルはかなり低いと思うけど

ひとまずスクリプトを書いて実行権限与えておいた。
証明書の権限がrootになっていて、chatgptに聞いたら「Snap版Certbotのインストール時にディレクトリのパーミッションが変更された可能性がある」というんだが、実際どうなんだ？

あと、証明書更新時にパーミッションが元に戻る可能性があるってのはマジ？
実際どうなの？

パスワード掛けてない状態の private.pem は
漏洩したらすぐに失効手続きしての新しく作り無しが必要

というレベルの厳密なセキュリティ管理を要求するから
随所に所有権とパーミッションチェックや設定は入ってて当然と思う

SSHの鍵も同じでパーミッションに不足があるとあらゆるコマンドが失敗するようになってる

自分にはメールで先月と昨日に予告と警告が届いてるけど
そろそろ次回に影響する人が出てくるだろうからここでも共有しておこう

Let's Encrypt Expiration Emails Update
https://letsencrypt.org/2025/01/22/ending-expiration-emails/

Providing expiration notifications costs Let’s Encrypt tens of thousands of dollars per year
という部分が引っ掛かる
SPAM業者はこんなに払ってるのか？

MailchimpのMandrillを使ってるからだね
Mailchimpはspam業者ではない

Appleの悲願がかなう　TLS証明書の有効期間が最短47日に短縮へ
https://www.itmedia.co.jp/enterprise/spv/2504/16/news083.html

2027年からは VeriSign や GeoTrust でも一か月半ペースで新しい契約手続きとサーバの差し替え作業が必要ってことか？

>>337
ACME化しろってこと

Let's Encryptは、ドメイン名を使わずIPアドレスのみでTLS証明書を発行する準備を進めている
2025年7月1日 https://share.google/6sUlAtYiQTgNVdwOP

>>327
亀レスだけどサーバ毎にプラグインがあるだろ
debianだとpython3-certbot-apacheとか

>>339
有効期間6日w

それはそうとパスワードマネージャのもう必要なくなったエントリを整理してたら駅ネットに移行してJR東日本の必要なくなったエントリのURL欄が
https://my.jreast.co.jp/.well-known/change-password
びっくりするわ

>>327
その通り
更新しただけでは新しい証明書が読み込まれない
スクリプトというほどではないがウェブサーバやメールサーバの再起動をcronに書いた

>>327
crontabとかcron.dとかcron.dailyにcertbotの記述あるよね
そこに--deploy-hook "/bin/systemctl reload nginx"とか追記すればいい

このサーバーは、さくらのレンタルサーバで提供されています。
SSLの設定が有効になっていないため、このページが表示されている可能性があります。

以下HTTPのURLにアクセスすることで解消される場合があります。

こちらで解消されない場合はサイト管理者にご連絡ください。

ご契約者様はこちらのFAQをご確認ください。

(C)Copyright 1996-2025 SAKURA Internet Inc.

いずれ証明書は毎日更新になるのか?

いまのところ 47日までしか見えてない
2029年3月15日から47日に短縮
2027年3月15日から100日に短縮
2026年3月15日から200日に短縮
2026年3月14日まで398日を維持

久しぶりのカキコ

dns-persist-01
中間者攻撃対策でつまずいてなかなか仕様が決まらない

dns-persist-01
draftが更新されてaccounturiがハッシュ化

cloudflareが無料認証局やるらしい

何年前の話だよ
ずっと前から15年認証とかやってるし

>>352
それはCloudflareとオリジンサーバーの通信用のオレオレ証明書
今度始まるのは別