Let's Encrypt
Erstellen des ersten Zertifikates
Zum Erstellen des ersten Zertifikates führt man im Verzeichnis letsencrypt das folgende Kommando aus:
$ ./letsencrypt-auto --server https://acme-v01.api.letsencrypt.org/directory auth
Läuft der Webserver hierbei hinter einer Firewall, muss sichergestellt sein, dass die Ports 80 (HTTP) und 443 (HTTPS) offen sind. Weiterhin muss der Webserver auch unter der Domain, für die das Zertifikat ausgestellt werden soll, vom Internet aus über DNS erreichbar sein.
Zunächst überprüft letsencrypt-auto, ob irgendwelche Aktualisierungen verfügbar sind, und installiert diese gegebenenfalls. Danach werden dem Anwender einige Fragen gestellt, die zur Erstellung des Zertifikates notwendig sind:
- Zuerst muss der zu verwendende Webserver angegeben werden. Falls bereits ein Webserver aufgesetzt ist, sollte dieser verwendet werden, da nur ein Webserver auf den HTTP(S) Port zugreifen kann. Ansonsten bietet
letsencrypt-autoauch an, einen eigenen Webserver zu verwenden (standalone). - Danach wird nach einer E-Mail-Adresse gefragt, unter der das Zertifikat registriert werden soll. Diese wird von Let's Encrypt für dringende Benachrichtigungen und zur Wiederherstellung verlorener Zertifikate verwendet.
- Anschließend müssen die Servicebedingungen (terms of service) akzeptiert werden.
- Zuletzt wird eine Liste mit den Domainnamen abgefragt. Falls Zertifikate für mehr als eine Domain angefordert werden sollen, müssen die Domainnamen mit Komma oder Leerzeichen getrennt werden.
Sobald das Zertifikat erstellt wurde, legt letsencrypt-auto das Verzeichnis /etc/letsencrypt an und speichert dort die Zertifikate unter /etc/letsencrypt/archive/domain.tld/, wobei domain.tld dem Domainnamen entspricht, für welchen das Zertifikat ausgestellt wurde. Alle zukünftigen Zertifikate werden ebenfalls in diesem Verzeichnis abgelegt und durchnummeriert. Das letzte aktuell gültige Zertifikat wird im Verzeichnis /etc/letsencrypt/live/domain.tld/ verlinkt. Von dort sollte der Webserver auch das Zertifikat lesen, da der Link bei jeder Aktualisierung des Zertifikats entsprechend angepasst wird.
