To nejdůležitější o Let´s Encrypt

Krátký souhrn

Let´s Encrypt  je certifikační autorita, která si dala za cíl zabezpečit World Wide Web. Lidsky: nasadit na web certifikát bylo dříve složité a drahé.

To zakladatelé z Mozilly Josh Aas a Eric Rescorla věděli a snažili se přijít na způsob, jak to změnit.

Největším problémem byla složitost a cena. Tak celý proces prostě zautomatizovali, a ještě to udělali zdarma. Toho se uchopili i webhostingové společnosti včetně nás a každý chtěl najednou nabízet HTTPS zdarma a na jedno kliknutí.

A jejich cíl se povedl na 1+, během pár let raketově vzrostl počet webů běžící na HTTPS a nyní je na více než 50 % všech webů. Certifikáty se především instalovaly na weby, které předtím žádné neměly.

Proč se Let’s Encrypt vyplatí?

Hned z několika důvodů.

Zajistíte si důvěru návštěvníků díky bezpečnosti vašeho webu. Tím, že si certifikát nainstalujte, tak provoz mezi návštěvníkem a webserverem bude šifrovaný. Tím pádem útočník nemůže odposlechnout žádné údaje, které si vymění. Tedy může, ale nebude mu to nic platné, pokud neprolomí šifrování.

Vyhledávače jako Google nebo Seznam podporuji šifrování a weby, které běží na HTTPS budou upřednostňovat před ostatníma. Takže i z pohledu SEO se certifikát vyplatí.

Jednoduchost díky automatizaci. Díky certbotovi je implementování na server a následná správa mnohem jednodušší. Certifikát se dokonce každé 3 měsíce přegeneruje.

Let’s Encrypt podporuje i tzv. Wild certifikát, takže můžete mít pod jednou doménou zabezpečených až 100 subdomén.

Je to zdarma.

Certbot

Je bot napsaný v Pythonu, který pomáhá implementovat TLS/SSL certifikáty pro webserver. Dokáže automaticky nakonfigurovat webserver, aby běžel přes HTTPS. Pro Apache dokáže zautomatizovat bezpečnostní kroky a povolit různé funkce.

Stojí za ním EFF – Eletronic Frontier Foundation.

Jaký je rozdíl oproti ostatním certifikátům?

Záleží oproti jakému. Je více druhů certifikátů, ale v tom hlavním, jako je šifrování dat jsou skoro identické.

Liší se hlavně ve funkčnosti. Např. EV (Extended Validation) certifikát vám zobrazí název firmy přímo v příkazovém řádku.

Další rozšířený certifikát je tzv. Wildcard, který dokáže zabezpečit všechny subdomény pod hlavní doménou 2. řádu. Objednáte je jako: *.nazevdomény.cz a certifikát zabezpečí neomezené množství subdomén.

Jak Let’s Encrypt nainstaluji?

Webhosting

Na všechny naše vytvořené webhostingy už automaticky instalujeme Let’s Encrypt.

Tento návod slouží, když si jej budete chtít přegenerovat např. pro novou subdoménu.

Stačí se přihlásit do našeho Zákaznického portálu a přejít do seznamu domén.

Vyberete si doménu, pro kterou chcete certifikát nainstalovat a klikněte na detail domény. Před vámi se zobrazí dashboard k doméně:

Když kliknete na tlačítko k nastavení vedle „HTTPS certifikát“, můžete znovu požádat o certifikát např. pro novou subdoménu. Ale jen bacha na to, pokud jste již jednou zažádali, změna se může projevit až o něco později. Pokud se neprojevila do 24 h, napište nám.

Co dělat, když certifikát nefunguje

Pokud certifikát není aktivní, může to být jeden z těchto důvodů:

1. Doména MUSÍ před aktivací certifikátu směřovat na IP adresu našeho hostingu.
2. Mrkněte se, zda nemáte nastavené přesměrování v souboru .htaccess někam jinam.

VPS Centrum

Vyzkoušejte zdarma naši aplikaci pro správu serveru a domén. Budete si připadat jako zkušený administrátor.

Virtuální servery

Certbota jsme propašovaly do našeho VPS Centra a tím pádem i na naše virtuální či dedikované servery.

Díky tomu si můžete na všechny domény na vašem serveru vygenerovat zdarma HTTPS certifikát. Stačí doménu jenom aktivovat a jít do sekce Nastavení.

Kde uvidíte tabulku, kde můžete certifikát aktivovat vč. všech subdomén.

Do 30 minut by měl být certifikát vygenerovaný.

Co dělat, když certifikát nefunguje

Platí stejné věci, jako u webhostingu a protože se jedná o VPS s root přístupem, je potřeba dát si na pár věcí pozor:

1. Jestli doména nemá upravenou adresářovou strukturu.
2. Jestli adresář existuje /www/hosting/vas-server.cz/acme
3. Jestli jste o vygenerování certifikátů nepožádali víckrát.
4. A v neposlední řadě, zda se stihl propsat. Někdy trvá delší čas než se DNS záznamy propíšou do internetu, to může zabrat i několik minut (nebo i hodin). Pokud požádáte o aktivaci krátce po změně DNS záznamu, nemusí se to hned projevit.

A stejně jako u hostingu si musíte dát pozor ještě na:

1. Doména MUSÍ před aktivací certifikátu směřovat na IP adresu našeho hostingu.
2. Nemáte náhodou nastavené přesměrování v .htaccess někam jinam?

Tohle jsou nejčastější problémy, které s generováním certifikátu řešíme.

Často kladené otázky

Je certifikát od Let’s Encrypt opravdu bezpečný, když je zdarma?

Ano. Certifikát od Let’s Encrypt poskytuje stejnou úroveň šifrování jako placené certifikáty. Používá standardní TLS protokol a 256bitové šifrování, které chrání data při přenosu mezi prohlížečem a serverem. Prohlížeče Chrome, Firefox, Safari i Edge ho uznávají jako plně důvěryhodný.

Let’s Encrypt je zdarma, protože funguje jako nezisková certifikační autorita podporovaná společnostmi jako Mozilla, Google, Meta nebo Cisco. Nízké náklady umožňuje automatizace celého procesu vydávání a obnovy certifikátů. Pokud chcete vědět více o principech šifrování, přečtěte si článek co je SSL certifikát.

Freelo - Nástroj na řízení úkolů a projektů

Přidej se, pozvi svůj tým a klienty, rozděl práci a sleduj, jak se úkoly dají do pohybu.

Proč má certifikát od Let’s Encrypt platnost pouze 90 dní?

Kratší platnost je záměrné bezpečnostní opatření. Pokud by došlo ke kompromitaci privátního klíče, útočník by ho mohl zneužívat maximálně 90 dní, ne rok nebo dva jako u tradičních certifikátů. Kratší životnost také motivuje k automatizaci obnovy, což snižuje riziko lidské chyby. Maximální platnost certifikátů se navíc bude v celém oboru postupně zkracovat (výhledově až na 47 dní), takže automatická obnova se stane standardem.

V praxi se o obnovu nemusíte starat. Nástroj Certbot nebo jiný ACME klient certifikát automaticky obnoví před vypršením platnosti. Na webhostingu od Váš Hosting probíhá obnova zcela automaticky na pozadí bez jakéhokoli zásahu z vaší strany.

Jaký je rozdíl mezi Let’s Encrypt a placeným SSL certifikátem?

Let’s Encrypt vydává certifikáty typu DV (Domain Validation), které ověřují pouze vlastnictví domény. Placené certifikáty mohou být typu OV (Organization Validation) nebo EV (Extended Validation), které navíc ověřují existenci a identitu organizace. U EV certifikátů se dříve zobrazoval název firmy v adresním řádku.

Pro většinu webů, blogů a menších e-shopů je Let’s Encrypt zcela dostačující. Placený certifikát má smysl u velkých e-shopů nebo finančních institucí, kde zákazníci očekávají viditelné ověření identity provozovatele. Šifrování samotné je u obou typů totožné. Více o rozdílech najdete v článku Co je HTTP a HTTPS.

Jak nainstaluji Let’s Encrypt na virtuální server?

Na VPS s Linuxem použijete nástroj Certbot, který celý proces automatizuje. Po instalaci Certbotu stačí spustit příkaz s názvem vaší domény a Certbot se postará o ověření vlastnictví, vygenerování certifikátu i konfiguraci webového serveru (Apache nebo Nginx).

Po úspěšné instalaci nastavte automatickou obnovu přes cron job nebo systemd timer. Certbot to obvykle udělá sám při instalaci. Ověřte funkčnost příkazem certbot renew –dry-run. Na VPS od Váš Hosting je Certbot předinstalovaný a připravený k použití. Certifikát navíc vydáte i automaticky obnovíte přímo v ovládacím panelu, bez práce v příkazové řádce.

Co dělat, když certifikát Let’s Encrypt přestane fungovat?

Nejčastější příčinou je problém s automatickou obnovou. Zkontrolujte, zda běží cron job nebo systemd timer pro Certbot. Pokud ne, spusťte obnovu ručně příkazem certbot renew. Další častou příčinou je změna DNS záznamů nebo přesměrování domény, které brání ověření vlastnictví.

Pokud používáte Cloudflare nebo jinou CDN službu, ujistěte se, že nastavení DNS umožňuje přímý přístup k serveru pro ověřovací proces. Na webhostingu kontaktujte technickou podporu, která certifikát obnoví za vás. Pokud provozujete web za Cloudflare, zkontrolujte nastavení SSL/TLS v dashboardu.

Podporuje Let’s Encrypt wildcard certifikáty pro subdomény?

Ano, od roku 2018 Let’s Encrypt vydává wildcard certifikáty. Wildcard certifikát pokryje všechny subdomény první úrovně (například *.example.cz zahrnuje shop.example.cz, blog.example.cz i app.example.cz). Samotnou hlavní doménu je potřeba do certifikátu přidat zvlášť, obvykle se vydává společně s wildcardem.

Pro získání wildcard certifikátu je nutné použít DNS ověření (DNS-01 challenge) místo standardního HTTP ověření. To znamená přidání speciálního TXT záznamu do DNS. Proces lze automatizovat pomocí DNS API vašeho poskytovatele. Wildcard certifikát je ideální například pro WordPress multisite s více subdoménami.