Как получить wildcard Let's Encrypt сертификат

1. Выберите DNS-провайдера с certbot-plugin (Cloudflare, Route53, Gandi, DigitalOcean)
2. Установите plugin: apt install python3-certbot-dns-cloudflare
3. Создайте credentials file с API token (chmod 600)
4. Запустите: certbot certonly --dns-cloudflare --dns-cloudflare-credentials /root/.cloudflare.ini -d "*.example.com" -d example.com
5. Cert сохраняется в /etc/letsencrypt/live/example.com/ — fullchain.pem + privkey.pem
6. Включите auto-renew: systemctl enable --now certbot.timer
7. Verify: Enterno SSL checker для любого subdomain

• HTTP-01 challenge не работает для wildcard — только DNS-01
• Wildcard не покрывает apex домен (*.example.com ≠ example.com). Добавляйте оба через -d
• API token с минимальными permissions (только DNS:Edit zone, не Account:Read)
• Rate limit Let's Encrypt: 5 duplicate certs per week. Force renewal считается как new
• Manual DNS-01 не supports auto-renewal — настраивайте plugin или переходите на provider с API

Чтобы получить wildcard сертификат Let's Encrypt, вам необходимо использовать ACME клиент, поддерживающий DNS-алиасы. Вы можете воспользоваться Certbot, который является одним из самых популярных ACME клиентов. Для этого вам потребуется доступ к DNS-записям вашего домена. Команда для получения wildcard сертификата выглядит следующим образом: certbot certonly --manual --preferred-challenges=dns -d '*.example.com' -d 'example.com'. Следуйте указаниям для добавления TXT-записи в DNS, чтобы подтвердить владение доменом.

Wildcard сертификаты Let's Encrypt позволяют защищать все поддомены вашего домена с помощью одного сертификата. Это особенно полезно для сайтов с множеством поддоменов, так как упрощает управление сертификатами и снижает затраты. В этом разделе мы рассмотрим процесс получения такого сертификата шаг за шагом.

Шаг 1: Установка Certbot

Certbot — это клиент, который упрощает процесс получения и установки сертификатов Let's Encrypt. Для установки Certbot на Ubuntu выполните следующие команды:

sudo apt update
sudo apt install certbot

На других системах, таких как CentOS или Fedora, команды могут отличаться. Проверьте документацию для вашей операционной системы.

Шаг 2: Подготовка DNS-записей

Чтобы получить wildcard сертификат, вам нужно будет подтвердить владение доменом через DNS. Для этого вы должны будете создать TXT-запись в настройках DNS. Например, если ваш домен example.com, вам нужно будет создать запись _acme-challenge.example.com с соответствующим значением, которое предоставит Certbot.

Шаг 3: Запуск Certbot

После того как вы подготовили DNS-записи, запускаем Certbot с необходимыми параметрами:

certbot certonly --manual --preferred-challenges=dns -d '*.example.com' -d 'example.com'

Certbot выдаст инструкции, как добавить TXT-запись для подтверждения владения доменом. Убедитесь, что вы добавили эту запись и подождите некоторое время, чтобы DNS обновился.

Шаг 4: Проверка и завершение процесса

После того как вы добавили TXT-запись, вернитесь в терминал и нажмите Enter. Certbot проверит наличие записи и, если все сделано правильно, выдаст вам сертификат. Сертификаты Let's Encrypt действуют 90 дней, поэтому не забудьте настроить автоматическое обновление сертификатов.

Шаг 5: Настройка автоматического обновления

Для автоматического обновления сертификатов вы можете использовать cron. Откройте crontab:

sudo crontab -e

Добавьте следующую строку, чтобы проверять обновление сертификатов ежедневно:

0 0 * * * certbot renew --quiet

Это гарантирует, что ваши сертификаты будут обновляться автоматически, и вы сможете избежать проблем с их истечением.

Заключение

Получение wildcard сертификата Let's Encrypt — это простой процесс, который требует лишь базовых знаний о работе с DNS и терминалом. Следуя этой инструкции, вы сможете защитить все поддомены вашего сайта с помощью одного сертификата и обеспечить безопасность данных ваших пользователей.