Приватный ключ сертификата: что это и как его хранить, термины и чек-лист

Подробности, цифры, термины и чек-лист по теме «Приватный ключ сертификата: что это и как его хранить». Страница справочника целиком: Приватный ключ сертификата.

Коротко о теме

Приватный ключ сертификата хранится в файле.key на сервере и нужен для работы https. Как его защитить, проверить пару и что делать при потере.

Подробности по разделам

Чем приватный ключ отличается от открытого и от сертификата

Подпись центра сертификации привязана к открытому ключу, поэтому сертификат без своего приватного ключа бесполезен: сервер не сможет пройти проверку. Как соотносятся файлы по форматам: форматы сертификатов.

Как защитить приватный ключ: права, место и запреты

Для серверов обычно оставляют ключ без фразы и надёжно ограничивают доступ.

Как проверить, что приватный ключ подходит к сертификату

Целостность самого RSA-файла проверяет openssl rsa -in example.com.key -check -noout, ответ «RSA key ok» означает, что файл не повреждён. Больше команд: проверка через openssl.

Что делать, если приватный ключ потерян или попал к посторонним

Лечится обе перевыпуском, но в случае утечки старый сертификат ещё и отзывают. Выберите, что произошло, ответ назовёт порядок действий Пошаговый порядок, лимиты Let's Encrypt и отзыв через Certbot: перевыпуск SSL.

Ключевые цифры

Термины на странице

Certbot
Certbot это программа, которая получает и продлевает сертификаты Let's Encrypt на сервере.
PEM
PEM это текстовый формат файлов сертификатов и ключей, файлы .crt и .key часто в нём же.
CSR
CSR это запрос на выпуск сертификата: в нём открытый ключ и данные о домене.
IIS
IIS это веб-сервер в составе Windows Server.
Apache
Apache это веб-сервер. На хостинге с ним работают файлы .htaccess.
Root-доступ
Root-доступ это права администратора на сервере: можно ставить любые программы и менять любые настройки.
Панель управления
Панель управления сервером позволяет ставить сайты, базы и почту без командной строки.
Резервная копия
Резервная копия это сохранённое состояние сайта или сервера, из которого его можно восстановить.

Что проверить

  1. Выпустите сертификат после того, как домен указывает на сервер.
  2. Проверьте, что установлена вся цепочка сертификатов.
  3. Включите перенаправление с HTTP на HTTPS.
  4. Выберите конфигурацию по памяти и диску под задачу, процессор обычно вторичен.
  5. Проверьте тип виртуализации: KVM даёт свою систему и гарантированные ресурсы.
  6. Уточните, входит ли IPv4 и сколько стоит трафик сверх пакета.

Связанные страницы