winz Et si tu utilisais des certificats wildcard ?

• https://mondedie.fr/d/7414-Tuto-Certificat-SSL-signe-gratuit-avec-Let-s-Encrypt-et-nginx
• https://github.com/certbot/certbot
• https://packages.debian.org/search?keywords=certbot
• https://github.com/certbot/certbot/blob/master/CHANGELOG.md
• https://github.com/certbot/certbot/releases
• https://certbot.eff.org/docs/
• https://certbot.eff.org/docs/install.html#system-requirements

The certbot-auto command updates to the latest client release [...]

Hello,

oui je le présume @Steven. D'après ce court extrait (qui provient du dernier lien) normalement tout devrait bien se dérouler.

NB : Par contre, je te déconseil de l'installer (directement depuis (le(s) dépot(s) de) Debian). En outre, actuellement la dernière version c'est certbot-v0.23.0 (tandis que Debian (oui Stretch) à des trains de retard certbot-v0.10.2). Disons que cela t'évitera des problèmes.

De rien @Steven et tu as raison @spider1163 car je viens de regardé. Par contre, je note(rais) qu'il reste un léger retard car cela nous donne(ra) certbot-v0.21.1 et le changelog (entre ces 2 versions) ne me semble pas anodin (plusieurs corrections etc).
https://packages.debian.org/stretch-backports/certbot
Et puis, grosso modo je voulais surtout que ma réponse soit assez simple. Je me disais qu'ensuite s'il le fallait je donnerais de plus ample détail.

Salut c'est le relou de service

Je me suis lancer dans l'aventure let's encrypt, quand je lance l'install il me laisse pas le choix de wildcard mais me propose bien les sous-domaines que j'ai (via nginx), du coup j'ai peur que sa soit un certificat par sous-domaines du coup le jour où j'en crée un nouveau rebelote puis vu que la wildcard existe maintenant autant l'utiliser.

J'ai eu une erreur ASCII qui est lier à certains commentaires qui on des accents etc ...

Du coup je suis en version "certbot 0.23.0" Debian 9 et Nginx, Merci bien

https://mondedie.fr/d/7415-Discussion-Certificat-SSL-signe-et-gratuit-avec-Let-s-Encrypt/473

Certbot has ACME v2 support since Version 0.22.0. This version may not yet [...]
The V2 API supports issuing wildcard certificates [...]

Salut c'est encore moi À force cela va finir comme avec la team Rocket

Navré @Steven je doute de pouvoir t'aidé cette fois-ci (je m'en sers rarement)... D'après mes souvenirs, c'est hyper récent et l'article donné par @spider1163 semble le confirmer (depuis que certbot-v0.22.0 est sortie, il ne devrait y avoir aucun souci avec les wildcards).

Wagner Ne t'envole pas vers d'autres cieux

Steven Je crois que le wildcard est implicite. Lors de mes derniers tests sans avoir demander *.ndd.tld avec le certbot et en passant par https://medusa.ndd.tld mon site était bien certifié avec le petit cadenas vert... Je dis peut être une grosse connerie.

pour ma part je n'arrive pas utiliser les wildcards sur mon server

j'obtient l'erreur : "The currently selected ACME CA endpoint does not support issuing wildcard certificates."

je me demande s'il ne faut pas que je paramètre un truc au niveau de mon gestion de domaine pour avoir accés au wildcards.

@Wagner Pas mal

Du coup je vais essayer de le mettre en place je verrais bien comment sa réagit, mais j'avais vu sur le site de certbot que ACME v2 n'était pas encore supporter mais en regardant d'autre version ce message y était aussi ! Enfin bref je verrais bien ce que sa fait

@palouf34 Je pense que tu as à peut prêt le même soucis que moi, regarde un peu la version de ton certbot pour voir, il me semble que la commande c'est : ./certbot-auto --version

Sinon vous pouvez utiliser le script acme.sh qui permet de faire une validation dns de manière automatique via l'API de votre fournisseur dns (pas besoin d'être root et ne demande pas de dépendances particulière):
https://github.com/Neilpang/acme.sh/blob/master/README.md#7-automatic-dns-api-integration

BarbeRousse

en regardant le script mon provider n'est pas dans la liste... sniff

spider1163

j'ai bien créer l'enregistrement auprés de mon porvider mais j'obtient le message suivant::

 Failed authorization procedure. tld.fr (dns-01): urn:ietf:params:acme:error:unauthorized :: The client lacks 
 sufficient authorization :: Incorrect TXT record "I-----clef" found at _acme-challenge.lcrprod.fr
 IMPORTANT NOTES:
  - The following errors were reported by the server:
    Domain: tld.fr
   Type:   unauthorized
   Detail: Incorrect TXT record
   "I-----clef" found at
   _acme-challenge.tld.fr

   To fix these errors, please make sure that your domain name was
   entered correctly and the DNS A/AAAA record(s) for that domain
   contain(s) the right IP address.

mon provider est online.net.

@spider1163 Du coup si on a deux enregistrements TXT (ndd.tld et **.ndd.tld) (<-- j'ai mis deux étoiles parce qu'une seule ne veut pas s'afficher ) à faire ils sont cessé ressembler à quoi j'ai fais mon premier en tant que : acme-challenge.ndd.tld. avec la valeur indiquer par certbot mais pour le second j'ai un doute, quelque chose du style acme-challenge.*.ndd.tld. (<-- Je sais que c'est pas sa ) et je vais la chercher où la valeur ?

Du coup j'ai fais la commande que tu as donner un peu plus haut avec mon ndd.tld et *.ndd.tld j'obtiens :

Obtaining a new certificate
Performing the following challenges:
dns-01 challenge for ndd.tld
dns-01 challenge for ndd.tld

---

Please deploy a DNS TXT record under the name
_acme-challenge.ndd.tld with the following value:

valeur tadada ! 845+85sqkflmksdfDD4656 etc..

Before continuing, verify the record is deployed.

Press Enter to Continue

Si tu regardes bien, cela concerne le même hôte : _acme-challenge.domain.tld
Tu dois donc créer 2 enregistrements TXT sur cet hôte (de préférence avec le TTL le plus bas possible, 1 sinon 300 en général), possédant chacun une des valeurs fourni par certbot.

Si tu ne peux pas créer 2 enregistrements TXT sur le même hôte, essaie de séparer les 2 valeurs par un espace, ça peut marcher.

Pourtant j'ai bien fait la commande :

./certbot-auto certonly --manual -d *.example.com -d example.com --agree-tos --manual-public-ip-logging-ok --preferred-challenges dns-01 --server https://acme-v02.api.letsencrypt.org/directory

Avec mon domaine.tld et *.domaine.tld, le retour me donne bien deux ligne dns-01 challenge for domaine.tld (d'ailleurs deux fois la même ligne)

Et me demande seulement un seul enregistrement, bon je vais essayer comme sa on verra bien

Edit : En effet, j'avais pas osez appuyer sur suivant ne voyant pas les deux demande mais il faut faire le premier enregistrement et dans un second temps il remet un message demandant le second

Edit2 : Super sa fonctionne nickel ! Du coup maintenant pour le renouvellement j'ai vu qu'il y avait plusieurs manière, vous utilisez laquelle personnellement moi je pense sur un cron mais il faut que je regarde comment sa fonctionne et si je demande l’exécution du script tout les jours ou toute les semaine à une certaine heure etc...

spider1163 comme dit plus haut ( BarbeRousse ) tu peux utiliser acme.sh pour automatiser le renouvellement du wildcard.
Ce script permet d'utiliser plusieurs api de nombreux providers.