SSL Automatisering

Inga öppna portar, inga DNS-nycklar, och besked när förnyelsen stannar

Automatisk förnyelse brukar falla på tre punkter i ett review hos driften: den vill ha port 80 öppen in mot servern, den vill ha en DNS API-nyckel liggande på servern, och den säger ingenting när den slutar fungera.

Den fjärde invändningen brukar vara att ingen kan räkna ut vad automatisering kostar när certifikaten ska förnyas dubbelt så ofta. Priset står därför med här.

Svensk support, vardagar 10-16 +46 10 101 03 34
E-post info@fairssl.se
Betala mot faktura E-faktura via Peppol 30 dagar netto, PDF-faktura 14 dagar netto
Bankgiro (Handelsbanken) 650-4757
E-faktura Peppol för offentlig sektor och företag
VAT-nr DK33075782

Validering utan att öppna något in mot servern

En ACME-klient som validerar över HTTP kräver att port 80 är öppen in mot servern. En klient som validerar över DNS kräver en API-nyckel till din DNS-leverantör, och den nyckeln ligger då på servern med skrivbehörighet till din zon. Interna servrar och appliances klarar sällan någondera.

Den enda CNAME du skapar per domän

_dnsauth.<domain> CNAME <hash>.autodns.fairssl.dk

Du skapar den en gång per registrerad domän. FairSSL skriver CA:ns valideringspost i vår egen zon, och du rör inte din DNS igen vid förnyelse.

En post per domän

Wildcard, SAN-namn och nya underdomäner på samma registrerade domän använder samma CNAME-vidarebefordran.

Inga DNS-nycklar på servern

Klienten får aldrig åtkomst till din DNS-zon. En komprometterad server kan därför inte ändra dina DNS-poster.

Utgående HTTPS, ingen inkommande regel

Servern måste kunna anropa fairssl.dk över HTTPS. Någon inkommande regel i brandväggen behövs inte, och servern behöver ingen publik adress.

Så fungerar AutoDNS →

Vad som övervakas när klienten kör

En automatisering som stannar utan att säga till är sämre än en förnyelse i kalendern. Vi mäter därför både certifikatet och den klient som ska förnya det.

Förnyelsefönster varje timme

Vi frågar CA:n via ARI när certifikatet bör förnyas och kontrollerar varje timme. Svarar CA:n inte faller vi tillbaka på 21 och 7 dagar före utgång.

Klienten slutar höra av sig

Börjar en klient checka in hälften så ofta som den ska skickar vi en varning. Ett certifikat kan vara giltigt långt efter att klienten som skulle förnya det har slutat köra.

Om installationen lyckades

Windows-klienten rapporterar resultatet av installationen tillbaka. Ett certifikat som är utfärdat men inte bundet till webbplatsen räknas som ett fel.

E-postlarm per profil

Larm ställs in per profil, så drift och utveckling kan få besked på var sin adress.

Övervaknings-API

Status kan hämtas som JSON eller läsas direkt av PRTG och Prometheus, så certifikaten syns i det övervakningssystem ni redan tittar på.

Certifikat utan automatisering

Certifikat som inte körs automatiskt får utgångsmail 28 dagar och 7 dagar före utgång.

Administration, profiler och behörigheter →

Vad automatiseringen kostar

Avgiften betalas per huvudcertifikat, per år, utöver priset på själva certifikatet.

370 SEK per huvudcertifikat och år

Kortare giltighetstid betyder fler utfärdanden per år. Antalet utfärdanden ändrar inte priset: du betalar för certifikatet under förvaltning, inte per förnyelse.

Upp till 25 servrar som använder certifikatet ingår i avgiften. Varje server får sitt eget återutfärdade certifikat.
Återutfärdanden kostar inget extra.
Ändringar i certifikatets SAN-namn kostar inget extra.
Fler ACME-klienter som använder samma certifikat kostar inget extra.

Ytterligare ett certifikat prissätts för sig: certifikatets eget pris plus avgiften för ett år.

Räkneexempel och prisdetaljer →

Behörigheter och roller

Kontot kan delas upp så att den som kör ACME-klienten på en server inte också kan beställa certifikat eller se fakturorna. Nycklar kan utfärdas för en enda användning eller för återanvändning.

Roller, nycklar och profiler →

Hitta din plattform

Guiden i kontrollpanelen skriver konfigurationen för den plattform du väljer, med kontonyckel och domäner ifyllda. Du kopierar den med en knapp och kör den på servern.

Windows

Simple-ACME i FairSSL-utgåvan hämtar certifikatet, installerar det i certifikatlagret och binder det till webbplatsen eller tjänsten.

IIS 8+, IIS 6-7.5, Exchange, RDS, ADFS, WAP, SQL Server, PRTG, Dynamics NAV/BC, Tomcat

Se konfigurationen →

Linux

Stock lego med FairSSL som ACME-server. Det genererade kommandot skriver certifikatet och reloadar tjänsten efteråt.

nginx, Apache, HAProxy, Traefik, Caddy, Postfix, lego

Se konfigurationen →

macOS

Lego, med samma konfiguration som på Linux.

lego

Appliances

FortiGate 7.6.3 och F5 BIG-IP 21.1.0 och senare talar ACME själva. Äldre versioner och de övriga lådorna hämtar certifikatet via en agent eller en enrollment-URL.

FortiGate, FortiMail, FortiWeb, NetScaler ADC, F5 BIG-IP, Kemp LoadMaster, Cisco ASA, Cisco FDM, Kubernetes cert-manager

Se konfigurationen →

Det här ingår inte

Guiden skriver ingen konfiguration för pfSense, Synology, Palo Alto eller Sophos. Kör du någon av dem, fråga oss innan du köper så tittar vi på vad som går att göra.

Från beställning till ett certifikat som förnyar sig självt

Steg tre finns inte i en generisk ACME-guide: konfigurationen skrivs för din plattform.

1
Beställ certifikatet i kontrollpanelen och slå på automatisering för det.
2
Skapa CNAME-vidarebefordran för domänen. En gång per registrerad domän.
3
Välj din plattform i guiden. Portalen skriver konfigurationskommandot med kontonyckel och domäner ifyllda, och du kopierar det med en knapp.
4
Kör kommandot på servern. Klienten hämtar certifikatet, installerar det och förnyar det sedan själv.

Klienten för Windows paketerar vi själva och bygger dagligen. Linux och macOS använder stock lego, som det genererade kommandot anropar. Hämta Windows-klienten

Kom igång i kontrollpanelen →

Support via e-post och telefon är kostnadsfri före, under och efter installationen. Fjärrinstallation är ett tillval till fast pris.

Vilka certifikat kan köra automatiskt

Automatiseringen utfärdar DV- och OV-certifikat från DigiCert-familjen. Varumärken i katalogen just nu: RapidSSL, Thawte, GeoTrust, DigiCert.

Kör automatiskt

DV, domänvaliderat

Domänen valideras genom CNAME-vidarebefordran. Första utfärdandet och varje förnyelse körs utan en person.

Kör automatiskt

OV, organisationsvaliderat

Organisationen valideras en gång. Därefter utfärdas certifikaten automatiskt på samma sätt som DV, med företagsuppgifterna i certifikatet.

Kräver en person

EV, utökad validering

DigiCert skickar en godkännandelänk via e-post innan ett EV-certifikat utfärdas. Det steget kan inte köras utan en person, och därför kallar vi inte EV automatiserat.

Billigaste certifikatet du kan sätta på automatisering kostar 520 SEK per år. Automatiseringsavgiften tillkommer.

Se alla certifikat →

GlobalSign Managed SSL, om ni hellre vill ha profilen uppsatt åt er

En förhandsgodkänd profil hos GlobalSign där domänerna är validerade i förväg. Det finns varken domänvalidering eller godkännandemail per utfärdande.

Profilen går inte att välja i kontrollpanelen. Vi sätter upp den när vi har tittat på era domäner och er organisation.

Hör av dig om Managed SSL → info@fairssl.se

Certifikat på många servrar och appliances

Ett offentligt SSL-certifikat får vara giltigt i högst 199 dagar nu, 99 dagar senast 2027-03-15 och 46 dagar senast 2029-03-15. Varje certifikat måste då bytas minst två gånger om året nu och minst åtta gånger om året från 2029, på varje server, brandvägg och lastbalanserare där det används. sslbrain från FairSSL körs som en appliance i ert eget nätverk och förnyar och installerar certifikaten från ett ställe, även på utrustning utan agent.

Larm vid utgång och misslyckade installationer i sslbrain