Как получить wildcard Let's Encrypt сертификат
Wildcard cert (*.example.com) покрывает все subdomain одним сертификатом. Let's Encrypt выдаёт wildcard только через DNS-01 challenge (HTTP-01 не работает). Нужен API-доступ к DNS-провайдеру для автоматического добавления TXT-записи _acme-challenge. Поддерживается certbot plugins: Cloudflare, Route53, DigitalOcean, десятки других.
Ниже: пошаговая инструкция, рабочие примеры, типичные ошибки, FAQ.
Пошаговая настройка
- Выберите DNS-провайдера с certbot-plugin (Cloudflare, Route53, Gandi, DigitalOcean)
- Установите plugin:
apt install python3-certbot-dns-cloudflare - Создайте credentials file с API token (chmod 600)
- Запустите:
certbot certonly --dns-cloudflare --dns-cloudflare-credentials /root/.cloudflare.ini -d "*.example.com" -d example.com - Cert сохраняется в /etc/letsencrypt/live/example.com/ — fullchain.pem + privkey.pem
- Включите auto-renew:
systemctl enable --now certbot.timer - Verify: Enterno SSL checker для любого subdomain
Рабочие примеры
| Сценарий | Конфиг |
|---|---|
| Cloudflare credentials | dns_cloudflare_api_token = YOUR_TOKEN_HERE |
| Route53 (AWS) | certbot --dns-route53 -d "*.example.com" -d example.com |
| Manual DNS-01 (любой DNS) | certbot certonly --manual --preferred-challenges dns -d "*.example.com" |
| Force renew | certbot renew --force-renewal --cert-name example.com |
| deploy-hook для nginx reload | certbot renew --deploy-hook "systemctl reload nginx" |
Типичные ошибки
- HTTP-01 challenge не работает для wildcard — только DNS-01
- Wildcard не покрывает apex домен (*.example.com ≠ example.com). Добавляйте оба через -d
- API token с минимальными permissions (только DNS:Edit zone, не Account:Read)
- Rate limit Let's Encrypt: 5 duplicate certs per week. Force renewal считается как new
- Manual DNS-01 не supports auto-renewal — настраивайте plugin или переходите на provider с API
Почему нам доверяют
Как это работает
Введите домен
Проверка цепочки TLS
Дата истечения и уязвимости
Что проверяет SSL-тест?
SSL/TLS — протокол шифрования, который защищает данные между браузером и сервером. Наш инструмент анализирует сертификат, цепочку доверия, версию TLS и известныеуязвимости.
Детали сертификата
Издатель, срок действия, алгоритм подписи, покрываемые домены (SAN) и тип валидации (DV/OV/EV).
Цепочка доверия
Проверка полной цепочки: от конечного сертификата через промежуточные до корневого CA.
Анализ TLS
Версия протокола (TLS 1.2/1.3), набор шифров, поддержка Perfect Forward Secrecy (PFS).
Оповещения об истечении
Создайте монитор — получайте уведомления в Telegram и email за 30/14/7 дней до истечения.
DV vs OV vs EV сертификаты
- Подтверждение только владения доменом
- Выдаётся за минуты автоматически
- Бесплатно через Let's Encrypt
- Подходит для большинства сайтов
- Самый распространённый тип
- Проверка организации (OV) или расширенная проверка (EV)
- Выдаётся за 1-5 рабочих дней
- Стоимость от $50 до $500/год
- Для финансов, e-commerce, госсайтов
- Повышает доверие пользователей
Кому это нужно
DevOps
мониторинг SSL-сертификатов
Безопасность
аудит TLS-конфигурации
SEO
HTTPS как фактор ранжирования
E-commerce
доверие покупателей
Частые ошибки
www и поддомены.Лучшие практики
Strict-Transport-Security заставляет браузер всегда использовать HTTPS.Получите больше с бесплатным аккаунтом
Мониторинг SSL-сертификатов, история проверок и уведомления за 30 дней до истечения.
Зарегистрироваться (FREE)Больше по теме
Часто задаваемые вопросы
Зачем wildcard если можно выпустить cert для каждого subdomain?
Wildcard удобнее при динамических subdomain (создаются автоматически). Для фиксированного набора — проще выпустить отдельные certs (лучше для revocation granularity).
Можно ли multi-level wildcard (*.*.example.com)?
Нет, Let's Encrypt поддерживает только single-level (*.example.com). Для more глубоких — нужен separate cert.
Wildcard cert безопасен?
Если private key не скомпрометирован — да. Но при compromise атакующий получает доступ ко всем subdomain сразу. Ротация раз в 90 дней (автоматически) снижает risk.
Можно ли wildcard + SAN для apex?
Да: <code>-d "*.example.com" -d example.com</code> создаёт cert с SAN = [*.example.com, example.com]. Обычная практика.