SecScan

Барои ба поён нарасидани мӯҳлати сертификати SSL чӣ кор кардан лозим

Чӣ тавр мӯҳлати сертификати SSL/TLS-ро санҷидан, навсозии худкори Let's Encrypt-ро танзим кардан, занҷири пурра (fullchain) ва TLS 1.2/1.3-ро фаъол кардан.

Сертификати мӯҳлаташ гузашта ба чӣ оварда мерасонад

Вақте мӯҳлати сертификат тамом мешавад, браузерҳо огоҳии сурх нишон медиҳанд, аксари меҳмонон меравад, API ва барномаҳои мобилӣ пайваст шуда наметавонанд. Аксар вақт сабаб оддӣ аст: навсозии худкор хомӯшона қатъ шудааст.

Навсозии худкори Let's Encrypt

Сертификатҳои Let's Encrypt барои 90 рӯз дода мешаванд. Certbot одатан навсозии худкорро худаш танзим мекунад. Корашро санҷед:

shell
sudo certbot renew --dry-run
systemctl list-timers | grep certbot
  • Пас аз навсозӣ веб-серверро бояд аз нав бор кард (reload): --deploy-hook "systemctl reload nginx".
  • Огоҳӣ (мониторинг)-ро барои 30, 14 ва 7 рӯз то анҷоми мӯҳлат танзим кунед.

Занҷири пурра (fullchain)

Ба сервер на танҳо худи сертификат, балки бо сертификатҳои миёна (fullchain.pem) насб кунед — вагарна баъзе дастгоҳҳо онро боэътимод нашуморад.

nginx
ssl_certificate     /etc/letsencrypt/live/domen.uz/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/domen.uz/privkey.pem;
ssl_protocols TLSv1.2 TLSv1.3;

Протоколҳои кӯҳна

TLS 1.0 ва 1.1 кӯҳна ва хатарнок ҳисоб мешаванд. Танҳо TLS 1.2 ва 1.3-ро монед (сатри ssl_protocols дар боло).

SecScan мӯҳлати сертификат, занҷир, мувофиқати номи домен ва фаъол будани TLS 1.0/1.1-ро худкор месанҷад.

Дастурҳои дигар