Certifikáty

Certifikát je TLS certifikát vydaný přes ACME — ve výchozím nastavení přes Let’s Encrypt, s možností přepnout na ZeroSSL. Certifikáty patří k projektu stejně jako serverlety, proxy nebo DNS zóny.

Ve většině případů se o certifikáty starat nemusíte: každá HTTP proxy ho dostane automaticky hned při vytvoření, bez jakéhokoli nastavování. Stránka Certifikáty se hodí, když potřebujete víc kontroly — sledovat platnost a stav vydání, pokrýt doménu dalšími alternativními jmény, vynutit obnovu, nebo si certifikát vyžádat dopředu.

Automatické certifikáty pro proxy

Když vytvoříte HTTP proxy, Futrou jí na pozadí zajistí odpovídající certifikát. Pokud v projektu existuje DNS zóna pro nadřazenou doménu, vyžádá se wildcard certifikát (*.example.com), který pokrývá zónu i konkrétní subdoménu proxy; jinak se vyžádá certifikát jen pro danou doménu. Pokud doménu už pokrývá existující certifikát, nový se nevytváří. Pro vygenerované adresy *.futrou.cloud se certifikát automaticky nevytváří — ty pokrývá centrální wildcard.

Vyžádání certifikátu

Při vyžádání zadáváte doménu (*.example.com pro wildcard), volitelná alternativní jména (SAN), poskytovatele (Let’s Encrypt nebo ZeroSSL) a typ klíče (ECDSA nebo RSA). Tyto hodnoty po vytvoření už změnit nejde — pro jinou kombinaci si musíte vyžádat nový certifikát.

Ověření domény

Wildcard doména se ověřuje přes DNS (TXT záznamem), ostatní domény přes HTTP. Pokud DNS zóna domény už běží na Futrou, ověření obvykle proběhne samo, bez zásahu z vaší strany.

Stav a platnost

Stránka certifikátu zobrazuje aktuální stav (issued, pending, failed, revoked), data vydání a platnosti, počet provedených kontrol a při neúspěchu i chybovou zprávu. Že je stav krátce po vytvoření pending, je normální — vydání probíhá asynchronně u ACME poskytovatele.

Obnova

Futrou certifikáty obnovuje automaticky, ještě než vyprší. Tlačítkem Obnovit obnovu vynutíte okamžitě, například po opravě problému s ověřením.

Řešení neúspěšného vydání

Pokud je stav failed, podívejte se nejdřív na chybovou zprávu na stránce certifikátu. Nejčastější příčiny: nedokončené DNS ověření (chybí TXT záznam), nedokončené HTTP ověření (doména zatím nesměřuje na Futrou, nebo pro ni neexistuje proxy), nebo limity počtu vydání u ACME poskytovatele — v tom případě pomůže jen počkat a zkusit to později znovu.

Smazání

Smazáním certifikátu ho odstraníte z Futrou Cloud i z Nasua. Proxy nebo DNS zónu, kterou pokrýval, to neovlivní — pokud ho proxy znovu potřebuje, vyžádá se nový.