Let's Encrypt wildcard — jak to zrobić poprawnie

Czym jest certyfikat wildcard i dlaczego warto się nim zainteresować?

Potrzebujesz zabezpieczyć kilka, kilkanaście, a może kilkaset subdomen w ramach jednej domeny? Tworzysz system, gdzie użytkownicy dostają własne adresy typu nazwauzytkownika.twojafirma.pl? Albo masz rozbudowane środowiska deweloperskie, testowe i produkcyjne (dev.projekt.pl, staging.projekt.pl, app.projekt.pl)? Jeśli tak, certyfikat SSL dla każdej z nich osobno to droga donikąd. I to dosłownie – droga kosztowna i pracochłonna. Właśnie w takich scenariuszach z pomocą przychodzi certyfikat wildcard, czyli taki, który zabezpiecza wszystkie subdomeny pod adresem *.twojafirma.pl.

Zamiast żonglować dziesiątkami (albo setkami) pojedynczych certyfikatów, utrzymujesz jeden. To upraszcza zarządzanie, skraca czas konfiguracji i minimalizuje ryzyko błędów. Klasyczne certyfikaty wildcard od komercyjnych urzędów certyfikacji to często wydatek rzędu kilkuset, a nawet kilku tysięcy złotych rocznie. A co, jeśli powiemy, że możesz mieć to samo, za darmo, i to z automatycznym odnawianiem? Tak, Let's Encrypt oferuje certyfikaty wildcard, ale ich poprawne wdrożenie wymaga nieco więcej uwagi niż w przypadku standardowych certyfikatów.

Let's Encrypt i protokół ACME: Krótka powtórka

Zanim przejdziemy do sedna, przypomnijmy sobie, czym jest Let's Encrypt. To inicjatywa, która odmieniła świat webmasteringu, udostępniając darmowe certyfikaty SSL/TLS, czyniąc bezpieczne połączenia (HTTPS) standardem, a nie luksusem. Dzięki Let's Encrypt nawet małe sklepy internetowe czy blogi mogą bez problemu konkurować z gigantami takimi jak Allegro czy Pyszne.pl w kwestii bezpieczeństwa transportu danych.

Cały proces wydawania i odnawiania certyfikatów opiera się na protokole ACME (Automated Certificate Management Environment). Klient ACME (np. Certbot) komunikuje się z serwerem Let's Encrypt, dowodząc, że masz kontrolę nad domeną, dla której chcesz uzyskać certyfikat. Dotychczas najpopularniejszym sposobem na udowodnienie kontroli było wyzwanie HTTP-01: serwer Let's Encrypt wysyłał zapytanie do specjalnego pliku na Twoim serwerze (np. twojafirma.pl/.well-known/acme-challenge/JAKIS_HASH), a jeśli plik zawierał oczekiwaną treść, kontrola była potwierdzona.

Dlaczego wyzwanie DNS-01 to jedyna droga dla wildcard?

Wyzwanie HTTP-01 działa świetnie dla pojedynczych domen i subdomen, ale ma fundamentalną wadę, jeśli chodzi o certyfikaty wildcard. Jak udowodnić kontrolę nad *.twojafirma.pl, skoro nie wiesz, jakie subdomeny zostaną utworzone w przyszłości? Nie możesz przecież postawić pliku na serwerze dla każdej potencjalnej subdomeny, która jeszcze nie istnieje!

Dlatego dla certyfikatów wildcard Let's Encrypt wymaga użycia wyzwania DNS-01. W tym przypadku kontrolę nad domeną udowadniasz, tworząc specjalny rekord TXT w strefie DNS swojej domeny. Serwer Let's Encrypt sprawdza ten rekord, a jeśli jego zawartość odpowiada temu, czego oczekuje, uznaje, że masz pełną kontrolę nad domeną i może wydać certyfikat wildcard dla *.twojafirma.pl.

To rozwiązanie jest eleganckie, ponieważ kontrola nad DNS oznacza kontrolę nad całą domeną i wszystkimi jej subdomenami, niezależnie od tego, czy już istnieją, czy dopiero powstaną. Ale oznacza to też, że proces wymaga nieco innej konfiguracji i podejścia do automatyzacji.

Jak poprawnie uzyskać certyfikat Let's Encrypt wildcard? Praktyczny przewodnik

Poprawne uzyskanie i, co ważniejsze, automatyczne odnawianie certyfikatu wildcard to sztuka, która opiera się na automatyzacji i dobrej konfiguracji. Ręczne odnawianie certyfikatu co 90 dni, zwłaszcza w większych projektach, to prosta droga do niezabezpieczonych stron i komunikatu o błędzie w przeglądarce, co w oczach użytkowników wygląda mniej profesjonalnie niż nawet „błąd 404”.

Wybór klienta ACME: Kto nam pomoże w automatyzacji?

Aby w ogóle myśleć o automatyzacji, potrzebujesz klienta ACME. Najpopularniejszym i rekomendowanym jest Certbot, rozwijany przez Electronic Frontier Foundation (EFF). Jest dobrze udokumentowany, ma bogaty zestaw wtyczek i działa na większości systemów Linux.

Inne popularne alternatywy to:

• acme.sh: Lekki skrypt shellowy, bardzo elastyczny, wspierający wielu dostawców DNS poprzez API.
• dehydrated (dawniej letsencrypt.sh): Kolejny skrypt shellowy, prosty w użyciu, ale wymagający zewnętrznych hooków do integracji z DNS API.
• Posh-ACME: Jeśli operujesz w środowisku Windows Server i PowerShell, to może być Twój wybór.

W tym przewodniku skupimy się na Certbocie ze względu na jego popularność i ekosystem wtyczek.

Automatyzacja wyzwania DNS-01: Klucz do sukcesu

To jest clou całego procesu. Ręczne dodawanie rekordu TXT do DNS co 90 dni jest niewykonalne w praktyce. Potrzebujesz, aby Twój klient ACME mógł komunikować się z Twoim dostawcą DNS i automatycznie dodawać/usuwać rekordy TXT.

Większość renomowanych dostawców DNS oferuje API, które to umożliwia. Przykłady to:

• Cloudflare
• OVH
• GoDaddy
• Amazon Route 53
• DigitalOcean DNS
• Netcup
• Wielu innych mniejszych graczy

Certbot oferuje wtyczki do integracji z wieloma z tych usług. Np. dla Cloudflare będzie to certbot-dns-cloudflare, dla OVH certbot-dns-ovh itd. Instalujesz odpowiednią wtyczkę, a następnie konfigurujesz ją, podając klucze API do swojego dostawcy DNS. Ważne jest, aby te klucze API miały minimalne uprawnienia – tylko te niezbędne do zarządzania rekordami TXT, a najlepiej rekordami TXT dla konkretnej domeny. Bezpieczeństwo jest tu kluczowe – jeśli ktoś przejmie te klucze, może modyfikować Twoje rekordy DNS, a to katastrofa.

Jak to działa krok po kroku (ogólnie):

1. Uruchamiasz klienta ACME (np. Certbot) z poleceniem żądania certyfikatu wildcard i określeniem wtyczki DNS.
2. Klient ACME generuje unikalny token i prosi serwer Let's Encrypt o wygenerowanie wartości dla rekordu TXT.
3. Klient ACME, używając kluczy API, loguje się do API Twojego dostawcy DNS i tworzy rekord TXT o nazwie _acme-challenge.twojafirma.pl z odpowiednią wartością.
4. Klient ACME czeka chwilę, aby rekord TXT rozpropagował się w sieci (zazwyczaj kilka-kilkanaście sekund).
5. Serwer Let's Encrypt sprawdza rekord TXT pod adresem _acme-challenge.twojafirma.pl. Jeśli wartość się zgadza, potwierdza kontrolę nad domeną.
6. Let's Encrypt wydaje certyfikat.
7. Klient ACME pobiera certyfikat i, co równie ważne, usuwa rekord TXT z DNS (aby nie zaśmiecać strefy).

Wdrażanie certyfikatu i automatyczne odnawianie

Po uzyskaniu certyfikatu (plików fullchain.pem i privkey.pem), musisz go wdrożyć na swoim serwerze webowym (Nginx, Apache) lub load balancerze. Konfiguracja jest standardowa, jak dla każdego innego certyfikatu SSL. Kluczem jest jednak automatyczne odnawianie.

Certyfikaty Let's Encrypt są ważne przez 90 dni. Klienci ACME, tacy jak Certbot, mają wbudowane mechanizmy do ich odnawiania. Zazwyczaj wystarczy dodać wpis do cron lub systemd timer, który raz lub dwa razy dziennie uruchamia polecenie odnowienia:

0 0,12 * * * root /usr/bin/certbot renew --quiet

Polecenie certbot renew sprawdzi, czy którykolwiek z certyfikatów ma mniej niż 30 dni ważności i jeśli tak, spróbuje go odnowić, ponownie przechodząc przez proces wyzwania DNS-01. Po udanym odnowieniu, jeśli masz skonfigurowane odpowiednie hooks (np. --deploy-hook), Certbot może automatycznie przeładować Twój serwer webowy, aby używał nowego certyfikatu.

Właśnie tak, w butikowym studiu SISL, dbamy o to, aby projekty naszych klientów były nie tylko bezpieczne, ale i bezobsługowe pod kątem certyfikatów SSL. Automatyzacja to podstawa stabilności i spokoju ducha.

Czego unikać? Najczęstsze błędy przy wdrażaniu wildcard

Mimo że proces nie jest ekstremalnie skomplikowany, łatwo popełnić kilka błędów:

• Brak automatyzacji odnawiania: Numer jeden na liście. Zapominanie o odnowieniu certyfikatu skutkuje przestojami i spadkiem zaufania. Ustaw crona, przetestuj go.
• Ręczne dodawanie rekordów TXT: Jeśli Twój klient ACME nie ma wtyczki do Twojego dostawcy DNS, poszukaj alternatywy lub rozważ zmianę dostawcy DNS, który oferuje API. Ręczne operacje to proszenie się o kłopoty.
• Niewłaściwe uprawnienia kluczy API: Klucze do API DNS powinny mieć minimalne uprawnienia. Nigdy nie używaj klucza, który może np. usunąć całą strefę DNS, jeśli wystarczą uprawnienia do zarządzania rekordami TXT.
• Brak testów odnowienia: Zanim certyfikat wygaśnie, upewnij się, że automatyczne odnawianie działa. Możesz wymusić testowe odnowienie za pomocą certbot renew --dry-run.
• Brak hooków przeładowania serwera: Certyfikat się odnowi, ale serwer będzie dalej używał starego, dopóki go nie przeładujesz. Pamiętaj o --deploy-hook.
• Mylenie wildcard z Multi-Domain (SAN): Certyfikat wildcard zabezpiecza *.domena.pl. Jeśli potrzebujesz zabezpieczyć domena.pl, sub1.domena.pl i inna-domena.pl, to już jest certyfikat SAN (Subject Alternative Name), który również można uzyskać z Let's Encrypt, ale nie jest on wildcardem w pełnym tego słowa znaczeniu. Możesz jednak uzyskać jeden certyfikat Let's Encrypt, który zawiera zarówno domena.pl, *.domena.pl, jak i inne domeny, łącząc różne wyzwania (np. HTTP-01 dla domeny głównej i DNS-01 dla wildcarda).

Podsumowanie: Bezpieczeństwo z głową i automatyzacją

Certyfikat Let's Encrypt wildcard to potężne narzędzie, które pozwala na znaczne uproszczenie zarządzania bezpieczeństwem w projektach z wieloma subdomenami. Jego wdrożenie wymaga jednak zrozumienia protokołu ACME i konieczności użycia wyzwania DNS-01, a co za tym idzie – automatyzacji interakcji z API Twojego dostawcy DNS. To nie jest „magiczny przycisk”, ale raz dobrze skonfigurowane rozwiązanie potrafi działać latami bez Twojej interwencji.

Pamiętaj o bezpiecznym zarządzaniu kluczami API, regularnym testowaniu procesu odnowienia i odpowiedniej konfiguracji serwera webowego, aby zawsze korzystał z najnowszej wersji certyfikatu. Jeśli potrzebujesz pomocy w konfiguracji tego typu rozwiązań lub masz pytania dotyczące bezpieczeństwa swojej infrastruktury webowej, napisz do nas – w SISL.PL z przyjemnością pomożemy Ci wdrożyć rozwiązania, które działają poprawnie i stabilnie.