☰

Gibt es so etwas wie Certbot (automatische Verlängerung) für kostenpflichtige SSL-Zertifikate?

tag-icon • tag-icon encryption ssl certificate certbot
Gibt es so etwas wie Certbot (automatische Verlängerung) für kostenpflichtige SSL-Zertifikate?

Für maximale Kompatibilität möchte ich einfache DV PositiveSSL-Zertifikate verwenden, ähnlich wie Let’s Encrypt.

Aber das größte Ärgernis ist, dass ich nichts finden kann, das sich automatisch erneuert, wenn es soweit ist, wie zum Beispiel certbot/Let’s Encrypt.

Gibt es andere CLI/Skript-Optionen für die automatische Verlängerung bezahlter SSL-Zertifikate, ohne dass ich

  • Meine CSR-Datei einfügen
  • Warten Sie auf eine Bestätigungs-E-Mail
  • Warte auf eine E-Mail, um meine Zertifikate zu erhalten
  • Fügen Sie den Inhalt der Zertifikatsdateien auf meinem Server ein
  • Starten Sie Apache neu

Certbot macht es so schön und einfach, funktioniert aber nur mit Let’s Encrypt (das nach September 2016 viel Kompatibilität mit etwas älteren Browsern/Betriebssystemen verliert).

Antwort1

funktioniert aber nur mit Let's Encrypt

Nein, das stimmt nicht. Obwohl LE der Standarddienst von Certbot ist, wurde dasselbe ACMEv2-Ausstellungsprotokoll von einigen anderen Zertifizierungsstellen implementiert. Ich habe es beispielsweise bereits mit Sectigo OV-Zertifikaten (die Anfang des Jahres ein sehr ähnliches Cross-Signing-Problem hatten) und mit DigiCert OV verwendet.

(Sie geben in Certbot einfach eine andere „--server“-URL an und geben bei der ersten Registrierung des ACME-Kontos einen „--eab-hmac-key“ ein, um es mit Ihrem tatsächlichen Bestellkonto bei diesem Dienst zu verknüpfen, eine Funktion, die speziell für die Verwendung durch kommerzielle Betreiber hinzugefügt wurde.)

Dasselbe gilt für alle anderen ACMEv2-Clients, nicht nur für Certbot. Die Liste der CAs, die dieses Protokoll unterstützen, ist kurz, aber nicht vollständig, und angesichts der jüngsten Bemühungen der Browser, die Gültigkeitsdauer von Zertifikaten immer weiter zu verkürzen (mit Schwerpunkt auf automatischen Erneuerungen), wird diese Liste wahrscheinlich nur noch länger werden.

Neben ACME bieten einige CAs auch das ältere SCEP-Protokoll sowie benutzerdefinierte Bestell-APIs an (DigiCert hatzwei). DieseMaiAllerdings sind diese auf Massen-/Unternehmenspläne beschränkt und es wird für Sie schwieriger, brauchbare Kunden zu finden.

verwandte Informationen