Installazione di Certbot per Apache e NGINX

Installare e configurare Certbot per SeFlowSSL CaaS (Sectigo ACME)

SeFlowSSL CaaS (Sectigo ACME) utilizza il protocollo ACME per automatizzare il rilascio, la validazione, l'installazione e il rinnovo dei certificati SSL/TLS.

Questa guida spiega come installare Certbot su Apache e NGINX, utilizzando le principali distribuzioni Linux, e come configurarlo per usare l'infrastruttura ACME di SeFlowSSL CaaS.

Distribuzioni Debian e Ubuntu

Su Debian e Ubuntu puoi installare Certbot tramite il gestore pacchetti APT oppure tramite Snap.

Metodo 1. Installazione tramite APT

Aggiorna la lista dei pacchetti:

sudo apt update

Installa Certbot e il plugin necessario per il tuo web server.

Apache:

sudo apt install certbot python3-certbot-apache

NGINX:

sudo apt install certbot python3-certbot-nginx

Metodo 2. Installazione tramite Snap

Installa Snap e aggiorna il core:

sudo apt install snapd
sudo snap refresh

Installa Certbot:

sudo snap install --classic certbot

Crea il collegamento simbolico:

sudo ln -s /snap/bin/certbot /usr/bin/certbot

Distribuzioni Red Hat, AlmaLinux, Rocky Linux e CentOS

Su sistemi Red Hat based puoi installare Certbot tramite DNF, YUM oppure Snap.

Metodo 1. Installazione tramite DNF o YUM

Abilita il repository EPEL:

sudo dnf install epel-release
sudo yum install epel-release

Aggiorna il sistema:

sudo dnf clean all
sudo dnf update

sudo yum clean all
sudo yum update

Installa Certbot e il plugin necessario per il tuo web server.

Apache:

sudo dnf install certbot python3-certbot-apache
sudo yum install certbot python3-certbot-apache

NGINX:

sudo dnf install certbot python3-certbot-nginx
sudo yum install certbot python3-certbot-nginx

Metodo 2. Installazione tramite Snap

Installa Snap e aggiorna il core:

sudo snap install core
sudo snap refresh core

Installa Certbot:

sudo snap install --classic certbot

Crea il collegamento simbolico:

sudo ln -s /snap/bin/certbot /usr/bin/certbot

Configurazione Certbot

Dopo l'installazione, Certbot deve essere configurato per utilizzare l'endpoint ACME di SeFlowSSL CaaS invece dell'endpoint predefinito di Let's Encrypt.

La configurazione richiede tre informazioni fornite con il servizio:

• URL del server ACME
• EAB KID
• EAB HMAC Key

Installazione automatica del certificato

La modalità automatica permette a Certbot di richiedere, validare e installare il certificato direttamente nel web server configurato.

Struttura del comando:

sudo certbot --nginx --non-interactive --agree-tos --email admin@example.com --server https://acme.seflowssl.example/directory --eab-kid YOUR_EAB_KID --eab-hmac-key YOUR_EAB_HMAC_KEY --domain example.com

Per Apache:

sudo certbot --apache --non-interactive --agree-tos --email admin@example.com --server https://acme.seflowssl.example/directory --eab-kid YOUR_EAB_KID --eab-hmac-key YOUR_EAB_HMAC_KEY --domain example.com

Significato dei parametri principali

• --nginx utilizza il plugin Certbot per NGINX.
• --apache utilizza il plugin Certbot per Apache.
• --non-interactive esegue il comando senza richieste manuali.
• --agree-tos accetta i termini del servizio.
• --email imposta l'indirizzo email associato all'account ACME.
• --server indica l'endpoint ACME di SeFlowSSL CaaS.
• --eab-kid identifica l'account tramite External Account Binding.
• --eab-hmac-key contiene la chiave di autenticazione EAB.
• --domain indica il dominio per cui emettere il certificato.

Esempio completo per NGINX

sudo certbot --nginx --non-interactive --agree-tos --email admin@example.com --server https://acme.seflowssl.example/directory --eab-kid YOUR_EAB_KID --eab-hmac-key YOUR_EAB_HMAC_KEY --domain example.com

Esempio completo per Apache

sudo certbot --apache --non-interactive --agree-tos --email admin@example.com --server https://acme.seflowssl.example/directory --eab-kid YOUR_EAB_KID --eab-hmac-key YOUR_EAB_HMAC_KEY --domain example.com

Rinnovo automatico

Certbot configura normalmente il rinnovo automatico tramite systemd timer o cron. Puoi verificare il rinnovo con questo comando:

sudo certbot renew --dry-run

Se il test termina senza errori, il server è pronto per rinnovare automaticamente i certificati emessi tramite SeFlowSSL CaaS.