Simple-ACME (win-acme): komplet Windows-guide

Før du starter simple-acme, skal du oprette EAB-legitimationsoplysninger i FairSSL kontrolpanelet. EAB (External Account Binding) knytter ACME-certifikater til jeres FairSSL-konto, så alle certifikater, klienter og fornyelser er synlige og overvågede.

simple-acme.exe --register ^
  --baseuri https://fairssl.dk/acme/ ^
  --eab-key-identifier JERES_KEY_ID ^
  --eab-key JERES_HMAC_KEY ^
  --eab-algorithm HS256 ^
  --emailaddress jeres@email.dk ^
  --accepttos

Til automatisering og CI/CD bruger du CLI-argumenter i stedet for den interaktive menu. Herunder er de mest almindelige scenarier.

IIS site med FairSSL AutoDNS

Wildcard + apex-domæne, valideret via DNS-01 med FairSSL AutoDNS. Ingen DNS API-nøgler nødvendige. --siteid 1 installerer certifikatet på IIS site 1 og binder det automatisk til de hostnavne i sitet der matcher certifikatets navne.

simple-acme.exe ^
  --baseuri https://fairssl.dk/acme/ ^
  --source manual ^
  --host "*.fairssl.dk,fairssl.dk" ^
  --validationmode dns-01 ^
  --validation acme-dns ^
  --csr ec ^
  --store certificatestore ^
  --installation iis ^
  --siteid 1 ^
  --accepttos

DNS-validering med egen DNS-udbyder og ekstra PEM + PFX (pluggable)

Hvis I ikke bruger AutoDNS og i stedet har direkte API-adgang til jeres DNS-udbyder (kræver pluggable-versionen). Dette eksempel validerer via Cloudflare API, gemmer certifikatet i Windows Certificate Store, som PEM-filer og som PFX, og installerer på IIS site 1:

simple-acme.exe ^
  --baseuri https://fairssl.dk/acme/ ^
  --source manual ^
  --host www.fairssl.dk,fairssl.dk ^
  --validationmode dns-01 ^
  --validation cloudflare ^
  --cloudflareapitoken JERES_CF_TOKEN ^
  --csr ec ^
  --store certificatestore,pemfiles,pfxfile ^
  --pemfilespath C:\certs\fairssl.dk ^
  --pfxfilepath C:\certs\fairssl.dk ^
  --pfxpassword KODEORD ^
  --installation iis ^
  --siteid 1 ^
  --accepttos

Lagringsmuligheder (store)

Simple-acme kan gemme certifikater på flere måder. Kombiner dem med komma i --store.

--store certificatestore

--store pemfiles ^
--pemfilespath C:\certs\

--store pfxfile ^
--pfxfilepath C:\certs\ ^
--pfxpassword KODEORD

Kombiner lagringstyper: --store certificatestore,pemfiles gemmer i Windows Certificate Store og eksporterer PEM-filer samtidig.

Post-fornyelse script

Kør et script efter fornyelse gennemføres med success, f.eks. til at aktivere certifikatet på netværksudstyr eller genstarte en tjeneste:

simple-acme.exe ^
  --baseuri https://fairssl.dk/acme/ ^
  --source manual ^
  --host rdp.fairssl.dk ^
  --validationmode dns-01 ^
  --validation acme-dns ^
  --csr ec ^
  --store pemfiles ^
  --pemfilespath C:\certs\rdp ^
  --installation script ^
  --script "C:\scripts\deploy-cert.ps1" ^
  --scriptparameters "'{CertThumbprint}' '{StoreType}'" ^
  --accepttos

Simple-acme understøtter RSA og ECDSA nøgler. Valget har betydning for handshake-hastighed, båndbredde og fremtidssikkerhed.

Simple-acmes standard er P-384 for EC, som vi anbefaler. Hvis I har brug for at ændre nøgletype, kan det gøres via settings.json:

{
  "CSR": {
    "EC": {
      "CurveName": "secp384r1"
    }
  }
}

Simple-acme opretter en Windows Task Scheduler-opgave ved første certifikat. Opgaven kører dagligt og fornyer certifikater der nærmer sig udløb.

Vigtigt: Scheduled task og settings.json skal passe sammen. Kørselstidspunkt, tilfældig forsinkelse og stier skal matche begge steder. Hvis I ændrer indstillinger i den ene, skal den anden opdateres tilsvarende. Misforhold mellem de to er en af de hyppigste årsager til at fornyelse fejler stille.

"ScheduledTask": {
  "StartBoundary": "05:00:00",
  "RandomDelay": "01:00:00"
}

Kort certifikatlevetid (47 dage fra 2029)

Med 47-dages certifikatlevetid fra marts 2029 skal fornyelse køre hyppigere og pålideligt. Simple-acme med ARI håndterer dette automatisk. CA'en bestemmer det optimale fornyelsestidspunkt, og klienten følger det. Vi anbefaler at teste jeres opsætning grundigt nu, mens certifikater stadig er 200 dage, så I er klar til de kortere levetider.