Scopri come il protocollo ACME automatizza SSL/TLS Ciclo di vita dei certificati. Scopri come semplifica l'emissione e il rinnovo dei certificati e perché è più importante che mai, dato che la durata di validità dei certificati si sta riducendo.
Veloce panoramica
Il protocollo ACME (Automated Certificate Management Environment) standardizza il modo in cui i server ottengono e rinnovano i certificati SSL/TLS certificati. Consente ai server web di dimostrare la proprietà del dominio e di ricevere certificati senza intervento manuale.
ACME automatizza l'emissione e il rinnovo dei certificati, rafforza la sicurezza dei siti web, riduce gli errori umani nella gestione dei certificati e gode di ampio supporto tra le autorità di certificazione e i server web.
Capire ACME
L'Internet Security Research Group (ISRG) ha progettato il protocollo ACME per automatizzare l'emissione e il rinnovo dei certificati. ACME ha rivoluzionato la gestione dei certificati sin dalla sua introduzione. Molte autorità di certificazione (CA) lo hanno adottato e ora ha lo status di standard Internet come RFC 8555.
Prima di ACME, gli amministratori gestivano SSL/TLS I certificati venivano rilasciati tramite un processo manuale e dispendioso in termini di tempo. Gli amministratori del sito web dovevano completare manualmente ciascuno di questi passaggi:
- Genera una richiesta di firma certificato (CSR)
- Dimostrare la proprietà del dominio attraverso vari metodi
- Invia il CSR a un CA
- Attendi l'approvazione e l'emissione del certificato
- Installare manualmente il certificato sul loro server web
- Ricordati di rinnovare il certificato prima della sua scadenza.
Questo processo manuale era soggetto a errori umani e spesso produceva certificati scaduti, che a loro volta generavano avvisi di sicurezza per i visitatori del sito web.
ACME elimina i passaggi manuali definendo un protocollo standard per la comunicazione tra server web e autorità di certificazione. Il server web (il client ACME) richiede un certificato alla CA (il server ACME) per un dominio specifico. La CA rilascia quindi un convalida del dominio La sfida consiste solitamente nel richiedere al client di posizionare un file specifico sul server web o di pubblicare un record DNS. Una volta che l'autorità di certificazione (CA) conferma che il client ha completato la sfida, emette il certificato e il client lo installa automaticamente. Questo flusso di lavoro esegue l'intero processo dall'inizio alla fine, dalla configurazione iniziale fino a ogni rinnovo.
Vantaggi dell'utilizzo di ACME
Il protocollo ACME offre numerosi vantaggi per i proprietari e gli amministratori di siti web:
- Automazione: ACME elimina l'intervento manuale dalla gestione dei certificati.
- Sicurezza migliorata: I rinnovi automatici e regolari mantengono i certificati sempre validi.
- Errori ridotti: L'automazione riduce al minimo gli errori umani durante l'intero processo di certificazione.
- Scalabilità: I team possono gestire i certificati su più domini o sottodomini senza costi aggiuntivi.
- Standardizzazione: In quanto standard aperto, ACME promuove l'interoperabilità tra diversi sistemi
Perché la durata di validità dei certificati si sta riducendo (e perché ACME è più importante che mai)
Il forum CA/BrowserL'organismo di settore che definisce i requisiti di base per i certificati pubblicamente riconosciuti ha approvato la proposta di legge SC-081 per introdurre gradualmente una riduzione della durata massima di validità dei certificati. Il programma prevede una riduzione dell'attuale durata massima di 398 giorni a 47 giorni entro il 15 marzo 2029.
- Marzo 15, 2026: Durata massima di vita ridotta a 200 giorni
- Marzo 15, 2027: La durata massima di vita si riduce a 100 giorni.
- Marzo 15, 2029: La durata massima di vita si riduce a 47 giorni.
Il periodo di riutilizzo della convalida del dominio si riduce secondo lo stesso calendario, arrivando a soli 10 giorni entro il 2029. Nel complesso, questi cambiamenti implicano che le organizzazioni rinnoveranno e riconvalideranno i certificati molto più spesso di quanto non facciano oggi, rendendo la gestione manuale dei certificati sempre meno pratica. Leggi l'analisi completa in La guida SSL alla scadenza di 200 giorni per i certificati per comprendere le motivazioni alla base del cambiamento e come prepararsi.
ACME risolve già la sfida operativa creata da questi cicli di vita più brevi. Grazie all'automazione dell'emissione, della convalida e del rinnovo, i team che adottano ACME oggi creano l'infrastruttura necessaria per gestire ogni futura riduzione senza dover ricorrere a interventi manuali aggiuntivi.
Implementazione di ACME
Per iniziare a utilizzare ACME per i tuoi siti web, segui questi passaggi:
Segui questi passaggi per iniziare a utilizzare ACME per i tuoi siti web:
- Scegli un cliente ACME: Scegli un client che riceva assistenza attiva, offra una documentazione chiara, supporti il tuo sistema operativo e il tuo server web e includa le funzionalità di cui hai bisogno (ad esempio, certificati wildcard o supporto per più domini).
- Installa il client ACME: La procedura di installazione varia a seconda del client e del sistema. È possibile utilizzare un gestore di pacchetti, scaricare il client dal sito web dello sviluppatore oppure clonare un repository e compilare il client dai sorgenti. Consultare sempre la documentazione ufficiale del client ACME scelto per istruzioni specifiche.
- Configurare il client: Configura il tuo client ACME con i dettagli del tuo dominio e le impostazioni preferite. In genere, ciò significa specificare il/i dominio/i che desideri proteggere, il server web che utilizzi (ad esempio Apache o Nginx) e la posizione in cui archiviare i certificati.
- Richiedi un certificato: Avvia il client ACME per iniziare il processo di richiesta del certificato. Il client genera una richiesta di firma del certificato, ci dimostra la proprietà del dominio, quindi riceve e installa il certificato.
- Configura il tuo server web: La maggior parte dei client ACME configura automaticamente il server web, sebbene la configurazione possa richiedere degli aggiustamenti manuali. Per Apache, verifica che la configurazione dell'host virtuale includa i percorsi dei nuovi file del certificato. Per Nginx, aggiorna il blocco server con i percorsi dei nuovi file del certificato e della chiave.
- Imposta il rinnovo automatico: Le regole del CA/Browser Forum ora pongono un limite alla durata massima degli utenti fidati pubblicamente TLS I certificati hanno una validità di 200 giorni, e questo limite massimo continuerà a ridursi (vedi la sezione seguente). Imposta i rinnovi automatici in modo che i tuoi certificati rimangano validi senza doverli monitorare manualmente. La maggior parte dei client ACME include meccanismi di rinnovo integrati ed è in genere possibile pianificare un'attività pianificata (cron job) o un'attività pianificata per eseguire il processo di rinnovo regolarmente.
Funzionalità avanzate ACME
ACME supporta l'emissione certificati con caratteri jollyche proteggono un dominio e tutti i suoi sottodomini con un unico certificato. La richiesta di un certificato wildcard richiede una sfida DNS-01 per la convalida del dominio, poiché le sfide HTTP-01 non possono convalidare la copertura wildcard. ACME definisce anche una procedura standardizzata per la revoca dei certificati compromessi o non più necessari.
Risoluzione dei problemi comuni di ACME
Quando implementi ACME, fai attenzione a questi problemi comuni:
- Limitazione della frequenza: Molte CA ACME impongono limiti al numero di certificati emessi per prevenire abusi. SSL non impone alcun limite al numero di certificati emessi per il suo servizio ACME, quindi questo problema non si applica ai clienti SSL, indipendentemente dal numero di certificati che gestiscono.
- Problemi di connettività: Verificate che il vostro server possa raggiungere i nostri server ACME e, in caso di problemi di connessione, controllate le regole del firewall.
- Errori di convalida del dominio: Un server web configurato in modo errato può impedire la corretta convalida del dominio, quindi verifica che il tuo server fornisca correttamente le risposte alla richiesta di verifica.
- Sfide DNS: Per le problematiche DNS-01, verificare che i record DNS siano configurati correttamente e che la propagazione sia avvenuta in modo corretto.
- Errori di autorizzazione: I client ACME spesso necessitano di autorizzazioni elevate per scrivere certificati e configurare server web, quindi concedete i privilegi appropriati quando necessario.
Domande frequenti su ACME
D: Posso usare ACME per ordinare SSL/TLS certificati SSL?
A: Sì. SSL supporta attualmente ACME per l'emissione di certificati di convalida del dominio (DV), mentre l'emissione di certificati OV ed EV tramite ACME è prevista per una versione futura. Leggi SSL /TLS Emissione e revoca del certificato con ACME and ACME SSL /TLS Automazione con Apache e Nginx per una guida passo passo.
D: Qual è la durata di un certificato SSL/TLS certificati acquistati da SSL.com tramite ACME?
A: SSL rilascia tutti i certificati tramite il protocollo ACME con una durata massima di 200 giorni, in linea con i requisiti attuali del CA/Browser Forum. Tale durata massima si ridurrà a 100 giorni il 15 marzo 2027 e a 47 giorni entro il 15 marzo 2029, pertanto è necessario pianificare l'automazione di conseguenza.
D: Quali tipi di certificati posso ordinare da SSL.com con ACME?
A: Qualsiasi cliente SSL può ordinare il seguente SSL/TLS Prodotti di certificazione tramite protocollo ACME:
D: Gli sconti per rivenditori e acquisti in volume di SSL.com si applicano ai certificati ordinati tramite ACME?
A: Sì. I partecipanti a SSL.com Programma per rivenditori e acquisti a volume riceveranno gli sconti all'ingrosso associati al loro rivenditore e al livello di acquisto di volume quando richiederanno certificati con il protocollo ACME. I rivenditori possono anche generare credenziali ACME per i loro clienti.
Automatizza il ciclo di vita dei tuoi certificati.
Automatizzando il ciclo di vita dei certificati, ACME rafforza la sicurezza di Internet, riduce i costi amministrativi e offre un'esperienza più fluida sia per i gestori dei siti web che per i visitatori.
Quando implementi ACME per i tuoi siti web, ricorda di:
- Scegli un client ACME affidabile e compatibile con il tuo ambiente
- Monitora regolarmente lo stato del tuo certificato e le procedure di rinnovo.
- Mantieni aggiornato il software del tuo client ACME e del tuo server web
- Segui le best practice di sicurezza per l'archiviazione e la gestione dei tuoi certificati
Con ACME, puoi mantenere il protocollo HTTPS su tutti i tuoi siti web attraverso un processo automatizzato e senza interruzioni, e concentrarti su altre priorità mentre i tuoi certificati rimangono al sicuro.
Pronti ad automatizzare il ciclo di vita dei vostri certificati? Inizia subito a utilizzare l'integrazione di SSL con ACME. e preparate la vostra infrastruttura a ogni futura riduzione della durata di validità dei certificati.
