forum.lissyara.su

Всем привет.
Кто нибудь пробовал использовать на nginx бесплатный сертификат (StartSSL™ Бесплатно) от http://www.startssl.com ?
Я задолбался уже все варианты перебрал. не с одним не работает.
получил два файла от них. ключ приватный у меня.
делай так bagas@fryaha.ru.crt Intermediate.crt > /usr/local/etc/nginx/ssl/www.fryaha.ru.crt
Пробовал в конец добавлять и корневой сертификат, не с одним вариантом не работает. Вот думаю херня это все, проще купить за 700р сертификат и запустить его, чем куча нервов потратить.

А что именно у вас не работает и как это проявляется?
Также см. мануал от StartSSL https://www.startssl.com/Support?v=42

Нужен ли бесплатный сертификат на 90 дней? Потом опять гимороится и переполучать... На сколько я нагуглил не давно совсем бесплатных сертификатов уже ни кто не выдает. Было как то пару китайских сайтов что выдавали, но там нашли косяк и бесплатные сертификаты прикрыли, я в свое время еще успел получить сертификат на 3 года, вроде даже до сих пор работает... Может я конечно плохо искал, но если кто подскажет кто выдоет бесплатный сертификат хотя бы на год, а лучше на 3 года, буду премного благодарен...

kharkov_max писал(а): Нужен ли бесплатный сертификат на 90 дней?

В случае, если процесс его обновления и подключения автоматизирован (а с Let's Encrypt это делается совершенно свободно), то я не вижу не только проблемы, а даже и наоборот - преимущество в виде повышения уровня безопасности.

Отправлено спустя 11 минут 20 секунд:
Касаемо StartSSL (напомню, это "дочка" китайского WoSign) то это, вообще, хреновый выбор. Их корневые сертификаты ввиду вскрытых нарушений были удалены из списка доверенных всеми популярными браузерами. См., например, https://geektimes.ru/post/281188/

Биру от комодо. 1000 рублей на два года.

bagas писал(а): Биру от комодо. 1000 рублей на два года.

А я беру у Let's Encrypt. Навсегда. Бесплатно. Плюс как бонус автоматическое продление и установка. Для всех доменов.

Да, со стартссл подстава.
Самому пришлось срочно менять на Комодо, штоле

Лет'з энкрипт - конечно интересно, но не на продакшен. Если по какой-то причине не перевыпустится - будет писдетц

Alex Keda писал(а): Если по какой-то причине не перевыпустится - будет писдетц

Ну это да. Однако за год не было прецедентов на куче сертификатов.

Случится как всегда, отвалится куча сертификатов и начнется жопа...

За 90 дней вы же успеете почесаться, правда.
По мне так риск забыть вручную обновить сертификат через год и, тем более, три, выше на два порядка.

т.е. за 90 дней почесаться успеешь, а за три года - нет? )

т.е. за 90 дней почесаться успеешь, а за три года - нет? )

Alex Keda писал(а):т.е. за 90 дней почесаться успеешь, а за три года - нет? )

Тут как бы и прелесть, что оно просто обязано быть автоматизированным и чесаться тупо не надо, а пока лень автоматизировать, то да постоянные проёбы наше всё

f_andrey писал(а): а пока лень автоматизировать, то да постоянные проёбы наше всё

Золотые слова. И все мы тут, как видно, имеем опыт

Отправлено спустя 2 минуты 26 секунд:

Alex Keda писал(а): т.е. за 90 дней почесаться успеешь, а за три года - нет? )

Неправильная логика, дядя Фёдор. За три года точно забудешь, а за три месяца есть хороший шанс что не успеешь.
Но это всё пустое. Автоматизация есть и работает. Настроил и забыл. Ну для контроля ничто не мешает чтоб cron письмецо отправил контрольное при обновлении. Всяк почту смотришь регулярно.

xM писал(а): Золотые слова. И все мы тут, как видно, имеем опыт

Прям таки практически в процессе ))

xM писал(а): Автоматизация есть и работает. Настроил и забыл.

Кстати, вот насчёт есть и работает, не всё так просто, с одной стороны велосепедов куча и вроде как рабочих хватает и на вскус и цвет, но вот как то бестпрактикс, которые не стыдно вот взять и пременить или реализовать, как то не очень.

Вот сейчас как раз думаю, что просто доверять что выписался и ладно, как то стрёмновато, надо бы проверять перед заливкой. Да и старые отзывать не забывать.

f_andrey писал(а): но вот как то бестпрактикс, которые не стыдно вот взять и пременить или реализовать, как то не очень.

Да нате! Мне не жалко.
https://kostikov.co/tag/letsencrypt
Читать с конца.

Не... это детский сад, ты не достаточно низко пал
У нас вона даже https://github.com/schors/perkele завелось, но сейчас может уже и не надо, там говорят в ансибл вкрутили вроде что то достаточное, но правда руками всё никак не пощупаю.

f_andrey писал(а): ты не достаточно низко пал

Гыгы.
Ну у меня к штатному certbot претензий ноль. Особенно после внедрения возможности использовать свой CSR.