Certificati personalizzati

warning

Dalla versione 2.5 YunoHost integra la gestione automatizzata dei certificati Let's Encrypt. Potete quindi facilmente e gratuitamente installare un certificato Let's Encrypt. Questa guida descrive la procedura per installare un certificato, a pagamento, di una diversa autorità di certificazione (Gandi, RapidSSL, StartSSL, Cacert).

Nel corso delle versioni, sono state introdotte delle modifiche che possono impattare sulle procedure descritte di seguito:

Il gruppo metronome non è più utilizzato direttamente ma viene usato ssl-cert.
La directory /etc/yunohost/certs/DOMAIN.LTD-history/stamp viene utilizzata per salvare le configurazioni create e viene creato un link simbolico.

Installazione di un certificato firmato da un'autorità diversa da Let's Encrypt

Dopo aver creato il certificato presso l'autorità di certificazione scelta, sarete in possesso di una chiave privata, il file key e di un certificato pubblico, il file crt.

warning

Il file key contiene dati sensibili, è strettamente personale e deve essere conservato in un luogo sicuro.

Questi due file devono essere copiati sul server.

scp CERTIFICAT.crt admin@DOMAIN.TLD:ssl.crt
scp CLE.key admin@DOMAIN.TLD:ssl.key

Nelle versioni precedenti Windows 10, per utilizzare scp dovrete installare Putty e il plugin pscp.

pscp -P 22 CERTIFICATE.crt admin@DOMAIN.TLD:ssl.crt
pscp -P 22 KEY.key admin@DOMAIN.TLD:ssl.key

Una volta copiati i file, i passi successivi si faranno sul server via ssh o in locale. Per prima cosa create una directory per salvare i certificati in vostro possesso.

sudo mkdir /etc/yunohost/certs/DOMAIN.TLD/ae_certs
sudo mv ssl.key ssl.crt /etc/yunohost/certs/DOMAIN.TLD/ae_certs/

Spostatevi nella directory superiore

cd /etc/yunohost/certs/DOMAIN.TLD/

Eseguite un backup dei certificati auto firmati di YunoHost.

sudo mkdir yunohost_self_signed
sudo mv *.pem *.cnf yunohost_self_signed/

Per alcune autorità di certificazione, è necessario ottenere di altri certificati (intermediate e root).

StartSSL

sudo wget http://www.startssl.com/certs/ca.pem -O ae_certs/ca.pem
sudo wget http://www.startssl.com/certs/sub.class1.server.ca.pem -O ae_certs/intermediate_ca.pem

Gandi

sudo wget https://www.gandi.net/static/CAs/GandiStandardSSLCA2.pem -O ae_certs/intermediate_ca.pem

RapidSSL

sudo wget https://knowledge.rapidssl.com/library/VERISIGN/INTERNATIONAL_AFFILIATES/RapidSSL/AR1548/RapidSSLCABundle.txt -O ae_certs/intermediate_ca.pem

Cacert

sudo wget http://www.cacert.org/certs/root.crt -O ae_certs/ca.pem
sudo wget http://www.cacert.org/certs/class3.crt -O ae_certs/intermediate_ca.pem

I certificati intermedi e root devono essere collegati con il certificato "principale" a creare una unica catena di certificati.

cat ae_certs/ssl.crt ae_certs/intermediate_ca.pem ae_certs/ca.pem | sudo tee crt.pem

La chiave privata deve esser convertita nel formato .pem.

sudo openssl rsa -in ae_certs/ssl.key -out key.pem -outform PEM

Controllate la sintassi dei certificati, verificando il contenuto dei file.

cat crt.pem key.pem

I certificati e la chiave privata, devono assomigliare a questo:

Infine mettete al sicuro i file del vostro certificato.

sudo chown root:metronome crt.pem key.pem
sudo chmod 640 crt.pem key.pem
sudo chown root:root -R ae_certs
sudo chmod 600 -R ae_certs

Adesso i certificati (i due files con estensione .pem) devono essere copiati in /etc/yunohost/certs/DOMAIN.TLD.

cp ae_certs/*.pem ./

Ricaricate la configurazione di NGINX per rendere effettive le modifiche effettuate.

sudo service nginx reload

Il certificato è pronto. Potete controllare la corretta configurazione e installazione utilizzando il servizio di geocerts.

Installazione di un certificato firmato da un'autorità diversa da Let's Encrypt​

StartSSL​

Gandi​

RapidSSL​

Cacert​

Installazione di un certificato firmato da un'autorità diversa da Let's Encrypt

StartSSL

Gandi

RapidSSL

Cacert