Let's Encrypt Wildcard: бесплатный сертификат на поддомены, термины и чек-лист

Подробности, цифры, термины и чек-лист по теме «Let's Encrypt Wildcard: бесплатный сертификат на поддомены». Страница справочника целиком: Let's Encrypt Wildcard.

Коротко о теме

Let's Encrypt Wildcard выдаётся бесплатно, но только по DNS: команда Certbot, TXT-запись _acme-challenge и автопродление через плагин.

Подробности по разделам

Что покрывает Wildcard-сертификат Let's Encrypt

Поэтому на практике заказывают два имени сразу: example.com и *.example.com.

Почему Wildcard от Let's Encrypt выдают только через DNS-01

Устройство обмена описано в статье про протокол ACME.

Как выпустить Wildcard через Certbot пошагово

Для автоматического продления используйте DNS-плагин или скрипт, как ниже.

Как автоматизировать продление Wildcard-сертификата

Дальше продлением занимается таймер Certbot, проверить его можно командой sudo certbot renew --dry-run. Если плагина для вашего DNS-хостинга нет, остаются скрипты --manual-auth-hook и --manual-cleanup-hook, которые вызывают API вашего провайдера.

Ключевые цифры

Термины на странице

Wildcard
Wildcard-сертификат действует на все поддомены одного уровня, например *.example.ru.
DNS
DNS это система, которая переводит имя домена в адрес сервера.
Certbot
Certbot это программа, которая получает и продлевает сертификаты Let's Encrypt на сервере.
TXT-запись
TXT-запись хранит текст. В ней подтверждают владение доменом и публикуют SPF и DKIM.
Поддомен
Поддомен это адрес внутри домена, например shop.example.ru.
Продление домена
Продление это оплата домена на следующий срок. Цена продления часто выше цены регистрации.
Доменная зона
Доменная зона это окончание адреса: .ru, .рф, .com. От зоны зависят цена и правила регистрации.

Что проверить

  1. Перед правкой сохраните текущие DNS-записи.
  2. Понизьте TTL заранее, если планируете переезд.
  3. Проверьте записи через онлайн-сервис DNS после изменения.
  4. Выпустите сертификат после того, как домен указывает на сервер.
  5. Проверьте, что установлена вся цепочка сертификатов.
  6. Включите перенаправление с HTTP на HTTPS.

Связанные страницы