Установка SSL-сертификатов

Средствами ISPmanager вы можете как установить уже имеющийся у вас сертификат, так и выпустить бесплатный SSL Let's Encrypt.

Установка существующего сертификата

Если для вашего домена выпущен SSL-сертификат, вы можете установить его на сайт на VDS по инструкции ниже.

1. В первую очередь выдайте доступ к использованию SSL пользователю, под которым добавлялся сайт. Для этого зайдите в панель управления под root, перейдите в раздел «Пользователи», выберите в списке нужного пользователя и нажмите «Изменить». На вкладке «Доступ» отметьте чек-бокс «Может использовать SSL».
2. Войдите в панель под данным пользователем.
3. Перейдите в раздел «SSL-сертификаты» и нажмите «Добавить сертификат» → «Существующий».
   
   
   
   
4. На следующем шаге заполните все поля и нажмите «Создать»:
   — SSL-сертификат — содержимое сертификата.
   — Ключ SSL-сертификата — содержимое приватного ключа.
   — Цепочка SSL-сертификатов — цепочка сертификатов, которыми подписан данный сертификат. Как правило, они приходят в письме от центра сертификации в файле с расширением .ca-bundle.
5. Далее сертификат необходимо подключить. Для этого перейдите в раздел «Сайты», выберите нужный домен и кликните на нем дважды либо нажмите «Изменить».
6. В блоке «Сайт» отметьте чек-бокс «Защищенное соединение (SSL)» и выберите в списке нужный сертификат.

Нажмите «Сохранить».

Выпуск и установка Let's Encrypt

Скорее всего вы выпустили Let's Encrypt на этапе добавления домена. Если же этого не было сделано, выпустить SSL для сайта можно так:

1. Зайдите в панель управления под root, перейдите в раздел «Пользователи», выберите в списке нужного пользователя и нажмите «Изменить». На вкладке «Доступ» отметьте чек-бокс «Может использовать SSL».
2. Войдите в панель под данным пользователем.
3. В разделе «SSL-сертификаты» нажмите «Добавить сертификат» → «Let's Encrypt»
   
   
   
   
4. В открывшемся окне выберите домен, для которого нужен SSL. Остальные поля можно оставить без изменений. Нажмите «Выпустить». 
   
   
   

Сертификат будет выпущен автоматически и появится в списке в разделе «SSL-сертификаты». 

Обновление установленного Let's Encrypt будет происходить автоматически.

Выпуск и установка Let's Encrypt Wildcard

Wildcard — это сертификаты, которые действуют для домена и всех его поддоменов. Вы можете выпустить и установить SSL Let's Encrypt Wildcard автоматически, через интерфейс панели ISPmanager, или вручную.

Автоматический выпуск сертификата может занять значительное время, около 40 минут, с учетом необходимых проверок DNS-записей. Если вы не хотите ждать, Wildcard можно выпустить вручную. Обе инструкции доступны ниже.

Способ 1: Автоматически

1. Зайдите в панель управления под root, перейдите в раздел «Пользователи», выберите в списке нужного пользователя и нажмите «Изменить». На вкладке «Доступ» отметьте чек-бокс «Может использовать SSL».
2. Войдите в панель под данным пользователем.
3. В разделе «SSL-сертификаты» нажмите «Добавить сертификат» → «Let's Encrypt»

4. В открывшемся окне отметьте пункт «Wildcard сертификат» и выберите домен, для которого нужен SSL. Остальные поля можно оставить без изменений. Нажмите «Выпустить». 

5. Запустится процесс выпуска Let's Encrypt Wildcard. Он займет некоторое время, до 10 минут. После в панели появится уведомление о необходимости прописать у домена нужные TXT-записи. 

6. Нажмите «Подробнее» и скопируйте нужные записи.

Они будут иметь подобный вид:

_acme-challenge.domain.com. TXT KoZ26MJmum64Wevjg-xh23pqymt5W7sN-xGF0BXdo4g

_acme-challenge.domain.com. TXT WMawG90_ZpFDzvh5Lfg51DM11a8yTBVv4hz5E44B45c

7. На стороне держателя NS-серверов создайте нужные TXT-записи. Если домен на наших NS, это можно сделать так:
   • В панели управления Timeweb Cloud перейдите в раздел «Домены» и кликните на значок шестеренки в строке с нужным доменом, чтобы открыть DNS-записи.
   • Нажмите «Добавить запись» и укажите:

• • • Тип — TXT.
    • Хост — выберите «Ввести вручную» и укажите _acme-challenge.
    • Значение — вставьте значение записи из ISPmanager (все, что идет после TXT).

• • Нажмите «Добавить».
  • Создайте вторую TXT-запись таким же образом.

8. Дождитесь, когда панель проверит созданные записи. Если все в порядке — сертификат будет выпущен и установлен.

Если что-то пойдет не так, будет выведено повторное уведомление о необходимости прописать TXT-записи. ISPmanager будет автоматически проверять наличие TXT-записей и их корректность каждые 30 минут, пока сертификат не будет успешно выпущен.

Выпущенный сертификат будет продлеваться автоматически.

Способ 2: Вручную

Если домен делегирован на собственные NS-серверы, созданные на этом же сервере, то сертификат, выпущенный этим способом, не будет продлеваться автоматически.

1. Подключитесь к серверу по SSH и выполните команду ниже, заменив domain.com на имя вашего домена:

certbot certonly --agree-tos --manual --preferred-challenges dns --server https://acme-v02.api.letsencrypt.org/directory -d *.domain.com -d domain.com

2. В отдельных случаях консоль может запросить email. Введите адрес admin@domain.com, заменив domain.com на ваш домен, и нажмите Enter.
3. При запросе введите Y и нажмите Enter.

4. Консоль выведет первую TXT-запись. Пропишите ее на стороне держателя NS-серверов и после этого нажмите Enter.

Если домен на наших NS, это можно сделать так:

• • В панели управления Timeweb Cloud перейдите в раздел «Домены» и кликните на значок шестеренки в строке с нужным доменом, чтобы открыть DNS-записи.
  • Нажмите «Добавить запись» и укажите:
    • Тип — TXT.
    • Хост — выберите «Ввести вручную» и укажите _acme-challenge.
    • Значение — значение записи из консоли (на скриншоте выше — huyUvZi65fdfNwTyNz6YpGDkPEYdX7t899a2fQI7lkU).
  • Нажмите «Добавить».

5. Консоль выведет вторую TXT-запись. Также пропишите ее для домена.
6. Не закрывайте консоль и подождите 5-15 минут, чтобы данные обновились.
7. Перейдите на сайт dnschecker.org и проверьте домен вида _acme-challenge.domain.com, заменив domain.com на ваш домен.
8. Если записи TXT обновлены — нажмите Enter в консоли, чтобы выпустить сертификат. 
9. Консоль отобразит путь до файлов сертификата и ключа. Используя эти данные, установите сертификат, как описано в разделе Установка существующего сертификата.

Включение редиректа на HTTPS

После установки сертификата не забудьте включить редирект для домена на защищенное соединение HTTPS.