So erstel­len Sie ein Let’s Encrypt Wild­card Zertifikat

Seit Febru­ar 2018 bie­tet die Zer­ti­fi­zie­rungs­stel­le Let’s Encrypt die lang ersehn­te Mög­lich­keit an, Wild­card Zer­ti­fi­ka­te zu erstellen.

Vor­ab: In der Ankün­di­gung von Let’s Encrypt emp­feh­len die Ent­wick­ler für die meis­ten Anwen­dungs­fäl­le wei­ter­hin Nicht-Wildcard-Zertifikate.

Wir als Web­agen­tur pro­fi­tie­ren von die­ser Opti­on, weil wir vie­le Sei­ten unter­halb unse­rer Ent­wick­lungs­do­main *.dev.sixhop.net erstel­len und die­se pass­wort­ge­schützt unse­ren Kun­den zur Ver­fü­gung stel­len. Damit die­se Pass­wör­ter nir­gend­wo im Klar­text über­tra­gen wer­den, sind auch alle Ent­wick­lungs­um­ge­bun­gen bei uns verschlüsselt.

So wird ein Let’s Encrypt Wild­card Zer­ti­fi­kat erstellt

Als Linux Maschi­ne nut­ze ich einen unse­rer Cent­OS 7 Ser­ver. Aus dem EPEL Repo­si­to­ry des Fedo­ra Pro­jects war es ein­fach mög­lich den cert­bot zu installieren.

yum install -y epel-release
yum install -y certbot

Anschlie­ßend war es mög­lich mit die­sem Kom­man­do die ACMEv2 Chall­enge, die für die Erstel­lung des Wild­card Zer­ti­fi­kats not­wen­dig ist, zu starten.

certbot certonly --server https://acme-v02.api.letsencrypt.org/directory --manual --preferred-challenges=dns --agree-tos --manual-public-ip-logging-ok --manual -d *.srv.sixhop.net

Die Abfra­gen bei der Erst­be­nut­zung des Cert­bot zur Erstel­lung eines Accounts sind in mei­ner Aus­ga­be nicht mehr ent­hal­ten, weil ich bereits einen Let’s Encrypt Account hat­te. Falls Sie noch kei­nen Account haben, wer­den Sie nach Ihrer E‑Mail Adres­se gefragt und danach, ob die­se Infor­ma­tio­nen ver­öf­fent­licht wer­den dürfen.

Um ein Wild­card Zer­ti­fi­kat erstel­len zu dür­fen, muss der Ver­öf­fent­li­chung der IP Adres­se des Ser­vers zuge­stimmt werden.

Nach­dem der ent­spre­chen­de TXT Record für Ihre Domain erstellt wur­de, kön­nen Sie die­sen TXT Record test­wei­se abfra­gen und anschlie­ßend mit der Veri­fi­zie­rung fortfahren.

# host -t TXT _acme-challenge.srv.sixhop.net
_acme-challenge.srv.sixhop.net descriptive text "Sim8KNSxifaC-z3a10URQtcRvFLXYs9faWCvOmQmuaI"

Wur­de der Code rich­tig ins DNS Sys­tem ein­ge­tra­gen, wird die DNS-01 Chall­enge erfolg­reich abge­schlos­sen und Ihr Wild­card Zer­ti­fi­kat von Let’s Encrypt wird ausgestellt.

Hier auch noch ein­mal die Über­prü­fung des Zer­ti­fi­kats, das für uns aus­ge­stellt wurde:

# openssl x509 -in /etc/letsencrypt/live/srv.sixhop.net/cert.pem -text -noout
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            03:b9:94:71:11:59:47:3a:c1:eb:2b:25:22:8b:d8:52:ec:b5
    Signature Algorithm: sha256WithRSAEncryption
        Issuer: C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3
        Validity
            Not Before: Feb 26 14:19:24 2018 GMT
            Not After : May 26 14:19:24 2018 GMT
        Subject: CN=*.srv.sixhop.net

...

Die­ses Zer­ti­fi­kat kann jetzt ein­mal im Web­ser­ver hin­ter­legt wer­den und danach für alle Domains genutzt wer­den, die auf dev.sixhop.net enden.

Wie der Renew des Zer­ti­fi­kats läuft, erfah­ren Sie im zwei­ten Teil die­ses Artikels:
Let´s Encrypt Wild­card Teil 2: Renew.