SSL Automatisering
Ingen åbne porte, ingen DNS-nøgler, og besked når fornyelsen stopper
Automatisk fornyelse bliver som regel afvist på tre punkter i et review hos driften: den vil have port 80 åben ind til serveren, den vil have en DNS-API-nøgle liggende på serveren, og den siger ikke noget, når den holder op med at virke.
Den fjerde indvending plejer at være, at ingen kan regne ud, hvad automatisering kommer til at koste, når certifikaterne skal fornys dobbelt så tit. Prisen står derfor med her.
Validering uden at åbne noget ind til serveren
En ACME-klient, der validerer over HTTP, kræver port 80 åben ind til serveren. En klient, der validerer over DNS, kræver en API-nøgle til din DNS-udbyder, og den nøgle ligger så på serveren med skriveadgang til din zone. Interne servere og appliances kan sjældent nogen af delene.
Den ene CNAME du opretter per domæne
_dnsauth.<domain> CNAME <hash>.autodns.fairssl.dk
Du opretter den én gang per registreret domæne. FairSSL skriver CA’ens valideringsrecord i vores egen zone, og du rører ikke din DNS igen ved fornyelse.
Én record per domæne
Wildcards, SAN-navne og nye underdomæner på det samme registrerede domæne bruger den samme CNAME viderestilling.
Ingen DNS-nøgler på serveren
Klienten får aldrig adgang til din DNS-zone. En kompromitteret server kan derfor ikke ændre dine DNS-records.
Udgående HTTPS, ingen indgående regel
Serveren skal kunne kalde fairssl.dk over HTTPS. Der skal ikke åbnes en indgående regel i firewallen, og serveren behøver ikke en offentlig adresse.
Hvad der bliver overvåget, når klienten kører
En automatisering, der går i stå uden at sige det, er værre end en fornyelse i kalenderen. Vi måler derfor både certifikatet og den klient, der skal forny det.
Fornyelsesvindue hver time
Vi spørger CA’en via ARI, hvornår certifikatet bør fornyes, og tjekker hver time. Svarer CA’en ikke, falder vi tilbage til 21 og 7 dage før udløb.
Klienten holder op med at melde sig
Halveres en klients check-in-frekvens, sender vi en advarsel. Et certifikat kan være gyldigt længe efter, at den klient, der skulle forny det, er holdt op med at køre.
Om installationen lykkedes
Windows-klienten melder resultatet af installationen tilbage. Et certifikat, der er udstedt, men ikke bundet til sitet, tæller som en fejl.
E-mailalarmer per profil
Alarmer sættes op per profil, så drift og udvikling kan få besked på hver sin adresse.
Overvågnings-API
Status kan hentes som JSON eller læses direkte af PRTG og Prometheus, så certifikaterne står i det overvågningssystem, I allerede kigger på.
Certifikater uden automatisering
Certifikater, der ikke kører automatisk, får udløbsmail 28 dage og 7 dage før udløb.
Hvad automatiseringen koster
Gebyret betales per hovedcertifikat, per år, oveni prisen på selve certifikatet.
Kortere levetid betyder flere udstedelser om året. Antallet af udstedelser ændrer ikke prisen: du betaler for certifikatet under administration, ikke per fornyelse.
- Op til 25 servere, der bruger certifikatet, er med i gebyret. Hver server får sit eget genudstedte certifikat.
- Genudstedelser koster ikke ekstra.
- Ændringer i SAN-navnene på certifikatet koster ikke ekstra.
- Flere ACME-klienter, der bruger det samme certifikat, koster ikke ekstra.
Et certifikat mere prissættes for sig: certifikatets egen pris plus gebyret for et år.
Regneeksempel og prisdetaljer →Adgange og roller
Kontoen kan deles op, så den, der kører ACME-klienten på en server, ikke også kan bestille certifikater eller se fakturaerne. Nøgler kan udstedes til én enkelt brug eller til genbrug.
Roller, nøgler og profiler →Find din platform
Guiden i kontrolpanelet skriver opsætningen til den platform, du vælger, med kontonøgle og domæner sat ind. Du kopierer den med én knap og kører den på serveren.
Windows
Simple-ACME i FairSSL-udgaven henter certifikatet, installerer det i certifikatlageret og binder det til sitet eller tjenesten.
IIS 8+, IIS 6-7.5, Exchange, RDS, ADFS, WAP, SQL Server, PRTG, Dynamics NAV/BC, Tomcat
Se opsætningen →Linux
Stock lego med FairSSL som ACME-server. Den genererede kommando skriver certifikatet og reloader tjenesten bagefter.
nginx, Apache, HAProxy, Traefik, Caddy, Postfix, lego
Se opsætningen →macOS
Lego, med den samme opsætning som på Linux.
lego
Appliances
FortiGate 7.6.3 og F5 BIG-IP 21.1.0 og nyere taler ACME selv. Ældre versioner og de øvrige bokse henter certifikatet gennem en agent eller en enrollment-URL.
FortiGate, FortiMail, FortiWeb, NetScaler ADC, F5 BIG-IP, Kemp LoadMaster, Cisco ASA, Cisco FDM, Kubernetes cert-manager
Se opsætningen →Det her er ikke med
Guiden skriver ikke en opsætning til pfSense, Synology, Palo Alto eller Sophos. Kører du en af dem, så spørg os før du køber, så vi kan se på, hvad der kan lade sig gøre.
Fra bestilling til et certifikat, der fornyer sig selv
Trin tre er det, der ikke findes i en generisk ACME-vejledning: opsætningen bliver skrevet til din platform.
- 1
Bestil certifikatet i kontrolpanelet og slå automatisering til på det.
- 2
Opret CNAME viderestillingen for domænet. Én gang per registreret domæne.
- 3
Vælg din platform i guiden. Portalen skriver opsætningskommandoen med kontonøgle og domæner sat ind, og du kopierer den med én knap.
- 4
Kør kommandoen på serveren. Klienten henter certifikatet, installerer det og fornyer det derefter selv.
Klienten til Windows pakker vi selv og bygger dagligt. Linux og macOS bruger stock lego, som den genererede kommando kalder. Hent Windows-klienten
Kom i gang i kontrolpanelet →Support på mail og telefon er gratis før, under og efter installationen. Fjerninstallation er et tilkøb til fast pris.
Hvilke certifikater kan køre automatisk
Automatiseringen udsteder DV- og OV-certifikater fra DigiCert-familien. Brands i kataloget lige nu: RapidSSL, Thawte, GeoTrust, DigiCert.
Kører automatisk
DV, domænevalideret
Domænet valideres gennem CNAME viderestillingen. Første udstedelse og hver fornyelse kører uden en person.
Kører automatisk
OV, organisationsvalideret
Organisationen valideres én gang. Derefter udstedes certifikaterne automatisk på samme måde som DV, med virksomhedsoplysningerne i certifikatet.
Kræver et menneske
EV, udvidet validering
DigiCert sender et godkendelseslink på e-mail, før et EV-certifikat udstedes. Det trin kan ikke køre uden en person, og derfor kalder vi ikke EV automatiseret.
Billigste certifikat, du kan sætte på automatisering, koster 350 DKK om året. Automatiseringsgebyret kommer oveni.
Se alle certifikater →GlobalSign Managed SSL, hvis I hellere vil have profilen sat op for jer
En forhåndsgodkendt profil hos GlobalSign, hvor domænerne er valideret på forhånd. Der er hverken domænevalidering eller godkendelsesmail per udstedelse.
Profilen kan ikke vælges i kontrolpanelet. Vi sætter den op, når vi har set på jeres domæner og jeres organisation.
Certifikater på mange servere og appliances
Et offentligt SSL-certifikat kan højst være gyldigt i 199 dage nu, 99 dage senest 15-03-2027 og 46 dage senest 15-03-2029. Hvert certifikat skal dermed skiftes mindst to gange om året nu og mindst otte gange om året fra 2029, på hver server, firewall og load balancer, det bruges på. sslbrain fra FairSSL kører som en appliance i jeres eget netværk og fornyer og installerer certifikaterne fra ét sted, også på udstyr uden agent.
Alarmer ved udløb og fejlede installationer i sslbrain(åbner sslbrain.com i en ny fane)