web-dev-qa-db-fra.com

Limite de débit rencontrée lors de la configuration de certificats SSL gratuits à partir de LetsEncrypt.org dans Plesk

Lorsque j'ai essayé d'ajouter SSL au domaine d'hébergement directement à partir de letsencryt.org à partir de la version pré-construite de l'hébergement Cpanel Plesk, j'ai eu l'erreur suivante:

Certificats SSL/TLS

Erreur: Impossible d'émettre un certificat SSL/TLS de Let's Encrypt pour xyz.example.net.
La limite de débit "Certificats par domaine enregistré" a été dépassée pour xyz.example.net. Let's Encrypt ne permet pas plus de 20 certificats à émettre par domaine enregistré, par semaine.
Voir l’article correspondant de la Base de connaissances pour plus de détails.

Détails

Réponse invalide de https://acme-v01.api.letsencrypt.org/acme/new-cert.

Détails:

Type: urn: acme: error: rateLimited
Statut: 429
Détail: Erreur lors de la création du nouveau certificat :: trop de certificats déjà émis pour: exemple.net: voir https://letsencrypt.org/docs/rate-limits/

Ni les domaines ni les sous-domaines n'ont été cryptés?

Pour accomplir la même chose que ce que je suis censé faire?
OU
Installez manuellement Certbot à partir de l'outil de ligne de commande, comme indiqué ci-dessous.

Sudo apt-get update
Sudo apt-get install software-properties-common
Sudo add-apt-repository ppa:certbot/certbot
Sudo apt-get update
Sudo apt-get install python-certbot-nginx
Sudo certbot --nginx

N’est-il pas possible d’installer à partir de l’interface Web directement sur le domaine d’hébergement afin que tous les espaces DNS/Web créés à partir de la même adresse IP soient reflétés. Est-ce possible, non? Sinon, supposons-nous créer un protocole SSL distinct pour chaque domaine/espace Web?

De l'extension conseiller:

enter image description here

httpspleskopenssllets-encrypt
1
Nishanth ॐ

Vous avez plusieurs questions en une.

Encryptons la limitation de débit

Pour ce qui est de la limitation du débit, cela signifie simplement que vous avez déjà demandé trop souvent à Encryptons la même chose. Quand vous dites "Quand j'ai essayé d'ajouter SSL au domaine d'hébergement" qu'avez-vous fait exactement?

Comme le message d'erreur le dit, vous ne pouvez pas émettre plus de 20 certificats par domaine enregistré, par semaine. Un avertissement ici: si vous faites www.example.net et xxx.example.net le domaine enregistré dans les deux cas est example.net et vous avez donc un compte de 2 par rapport à cette limite de 50

Donc je suppose que pour une raison quelconque il peut y avoir eu une boucle quelque part ou vous avez cliqué trop souvent sur un bouton pour demander un certificat (désolé, je ne connais rien à CPanel ou à cette extension spécifique de Let's Encrypt). Ou avez-vous demandé trop de certificats pour différents noms mais sous un seul domaine enregistré?

Dans tous les cas, vous devrez attendre une semaine ou recommencer vos tests en utilisant un autre nom de domaine. Notez que Let's Encrypt possède également une interface de "test" pour apprendre et déboguer les systèmes. Ceci est documenté ici: https://letsencrypt.org/docs/staging-environment/ Il existe peut-être un moyen de brancher votre extension CPanel afin de pouvoir tester et mieux comprendre votre système, Après quoi, vous pourrez revenir au système de production.

Certbot

Vous pouvez également installer certbot sur n’importe quel hôte et travailler avec lui pour générer des certificats. Notez que cela ne résout qu'une partie du problème, vous devez toujours gérer les renouvellements, configurer les serveurs Web avec le certificat, etc. (certbot peut vous aider, mais doit au moins être configuré, de même pour la validation DNS ou HTTP requise pour le certificat. émission).

Notez que vous serez soumis aux mêmes règles de limitation de débit que ci-dessus. Par conséquent, si vous abusez de certbot en demandant trop souvent des certificats pour le même domaine ou le même domaine enregistré, vous obtiendrez des erreurs HTTP de la même manière et aucun certificat ne sera émis.

Créer un protocole SSL distinct pour chaque domaine/espace Web

Tout le dernier paragraphe de votre question n'est pas clair du tout, alors je vais juste essayer de donner quelques indices.

Tout d'abord, arrêtez de dire SSL. Ce protocole a 20 ans et a été remplacé par TLS. Et même dans votre cas, cela n’est pas vraiment pertinent car vous avez un problème avec les certificats (plus précisément les certificats X.509), pas directement avec TLS.

Désormais, l'hôte sur lequel certbot (ou son équivalent) est exécuté (pour créer et renouveler des certificats), le site Web utilisé pour la validation HTTP, le serveur de noms utilisé pour la validation DNS et le site Web final utilisant les certificats gérés peuvent être tous séparés sur le plan technique. . Mais ils peuvent également tous se trouver sur le même serveur, pour une meilleure gestion évidente (mais une sécurité moindre probablement). Bien sûr, vous utilisez la validation HTTP ou la validation DNS, pas les deux.

En ce qui concerne les certificats eux-mêmes, imaginons que vous avez www.example.com et www.example.net. Vous avez différentes options:

  • soit 2 certificats distincts, l'un avec www.example.com (et example.com ajouté à la liste SAN très probablement), l'autre avec www.example.net. Cela a du sens si les domaines ne sont pas enregistrés en même temps ou ne sont pas gérés de la même manière ou par les mêmes personnes
  • OU un seul certificat portant les 4 noms (.com et .net, avec et sans le www.) dans la liste SAN et en configurant les deux sites Web pour utiliser ce certificat unique .

Le premier cas vous donne probablement plus de flexibilité/sécurité au prix d’une double maintenance. Le second cas peut poser problème si vous ne voulez pas que vos utilisateurs voient qu'ils sont "groupés" (mais ils peuvent le découvrir autrement), et si vous avez plus de 100 noms, vous devez quand même appuyer sur Encoder Limite.

Et vous ne pouvez pas utiliser de certificat générique dans ce cas car les deux domaines ne sont pas sous la même "racine". Vous pouvez en avoir un si vous voulez sécuriser à la fois www.example.com et admin.example.com, vous pouvez demander un certificat générique pour *.example.com au lieu de devoir répertorier chaque nom de site Web dans le SAN. partie du certificat.

1
Patrick Mevzek