Como integrar com uma CA Let's Encrypt

Este documento fornece informações sobre como integrar com uma CA Let's Encrypt. Para mais informações sobre os campos da CA Let's Encrypt, veja Autoridades certificadoras.

Integrar uma CA Let's Encrypt

1. No Segura™, na barra de navegação, passe o mouse sobre o Menu de produtos e selecione Certificate Manager.
2. No menu lateral, selecione Gerenciamento > Autoridades > Autoridades certificadoras.
3. No canto superior direito, clique em Adicionar, e selecione Let's Encrypt.
4. No campo Nome *, insira um nome para identificar a CA.
5. Selecione o botão Status para ativar ou desativar a CA.
6. No campo Usar Network Connector?, selecione Sim ou Não. O padrão é Sim.
7. Caso o valor do campo Usar Network Connector? seja Sim, no campo Network Connector, selecione o Network Connector a ser utilizado. Deixe em branco para utilizar o Network Connector padrão.
8. No campo Emails (separados por vírgula) *, insira o email utilizado para cadastrar a conta Let's Encrypt.
9. No campo Senha da chave privada, insira a senha Let's Encrypt.
10. Caso necessário, marque a caixa de seleção Usar conta existente para utilizar uma conta existente.
11. No campo Chave privada, insira o valor da chave privada. Este campo só estará disponível caso a caixa de seleção Usar conta existente esteja marcada.
12. No campo Chave pública, insira o valor da chave pública. Este campo só estará disponível caso a caixa de seleção Usar conta existente esteja marcada.
13. Clique em Salvar.

Comportamento do Network Connector

Quando Usar Network Connector? está definido como Não, a CA não exibe nenhuma informação de Network Connector ao solicitar um certificado, e se comunica diretamente com a Let's Encrypt.

Quando Usar Network Connector? está definido como Sim, a solicitação de certificado exibe Utiliza Network Connector: <agente> ao lado de Escolha a CA: o nome do connector selecionado, ou connector padrão caso o campo Network Connector tenha sido deixado em branco. O seguinte tráfego passa por esse connector:

• A comunicação com a API da Let's Encrypt, incluindo a revogação de certificados.
• Na validação por arquivo (http-01), o upload do arquivo de validação de domínio para o servidor web via SFTP, FTP ou FTPS.
• Na validação por DNS (dns-01), a consulta do registro DNS TXT.

Antes de a Let's Encrypt validar o domínio, o Segura® verifica o arquivo de validação publicado via HTTPS diretamente a partir do appliance do Segura®, sem o Network Connector.

Se o agente do Network Connector estiver inacessível, o túnel falhar, ou não houver agente nem connector padrão disponíveis, o Segura® nunca recorre a uma conexão direta:

• Assinatura: a solicitação de certificado permanece com status Aguardando assinatura com o motivo indicado, e o Segura® tenta novamente na próxima execução.
• Revogação: a revogação termina em erro.

Através de um Network Connector, os uploads via FTP usam o proxy SOCKS5 do agente em modo passivo. Se o servidor FTP não aceitar o modo passivo (PASV), a validação falha com uma mensagem informando que o modo passivo é obrigatório. Os uploads via FTPS não verificam o certificado do servidor FTP.

Limites de emissão

A Let's Encrypt limita a emissão a 50 certificados por domínio registrado a cada 7 dias. Quando o limite é atingido, o Segura® processa a requisição novamente após o tempo de espera informado pela Let's Encrypt.

O texto Utiliza Network Connector: <agente> e o campo Tipo de validação aparecem ambos na tela de solicitação de certificado. Veja Como assinar uma requisição.