Imprimer

[alex]

Quand c'est comme ça, tu vires tout et tu recommences depuis le début.
Si tu as installé des saloperies, il faut absolument tout virer et recommencer...

Pourtant, j'ai mis à jour mon Cygwin il y a quelques temps et il est propre, rien à signaler.

[lagrace]

bonsoir tout est ok

une question pour la mise en place des certificats je suppose que sais la meme marche a suivre que dans ton autre tuto merci

[alex]

Ah oui, tu stockes tes certificats là où tu veux (dans les tutos, c'est quasi toujours pareil) et tu pointes dessus avec ta config Apache.
Avec acme.sh le chemin change un peu, mais ce n'est pas un obstacle.

[alex]

ATTENTION aux utilisateurs de Freenom !

Cloudflare n'autorise plus les certificats SSL pour les domaines gratuits de Freenom ! (.cf, .ga, .gq, .ml, .tk)
Vous obtiendrez systématiquement une erreur...

[alex]

Mise à jour du tuto suite à la fin de vie du certificat racine DST Root CA X3 au profit de ISRG Root X1.
Mise à jour également afin d'éviter l'utilisation de acme.sh avec ZeroSSL comme autorité de certification.
Et enfin, dernière mise à jour pour l'API ISPConfig de acme.sh et l'erreur "Client ID is not numeric".

Quelques captures écran ont également été mises à jour afin de coller à la réalité d'aujourd'hui.


Ouf ! Ca c'est fait.
Je vais pouvoir sortir et courir après les filles.

[Goldenscarab]

Bonjour, je suis sous cygwin je suis le protocole a la lettre
au moment de générer le certificat il me sort un beau
"Can not find account id url".

Je suis tristesse!

[alex]

Salut,

Tu as bien vérifié que les dossiers de acme.sh ne sont pas protégés en écriture ?
Si c'est le cas, exécute Cygwin en mode admin, Clic droit sur l'icone Cygwin puis Exécuter en tant qu'administrateur.
Et règle ce problème d'écriture dans les dossiers acme.sh

Si les permissions d'écritures sont correctes, entre ceci et colle ici le résultat :

Code

acme.sh --debug 2 --issue -d example.com -d *.example.com --dns dns_cf

[Goldenscarab]

Toujours pas...
Temp pis, je continuerais d'entrée les données a la mano dans mon dns pour mon wildcard.

[alex]

Avec Cygwin, ça continuera à pas ne marcher, mais bon, c'est toi qui voit.
Vu que je n'ai pas le journal de debug demandé...

[Otomatic]

Bonjour,

ApacheLounge à reçu le courriel suivant :

Hello,

Please immediately renew your TLS certificate(s) that were issued from
Let's Encrypt using the TLS-ALPN-01 validation method and the following
ACME registration (account) ID(s):

xxxxxxxxx

We've determined that an error made it possible for TLS-ALPN-01
challenges, completed before today, to not comply with certificate
issuance requirements. We have remediated this problem and will revoke
all unexpired certificates that used this validation method at 16:00 UTC
on 28 January 2022. Please renew your certificates now to ensure an
uninterrupted experience for your site visitors.

We apologize for any inconvenience this may cause. If you need support
in the renewal process, please comment on our forum post. Our staff and
community members are available to help:

https://community.letsencrypt.org/t/170449

Thank you,

The Let's Encrypt Team   

Réponse de ApacheLounge
All certificates issued in the last 90 days and validated with TLS-ALPN-01 challenge are affected. You need to (force) renew the certificate according to your ACME client’s directions.

At https://community.letsencrypt.org/t/170449 in the comments is also the way how to renew with mod_md.

!! It is advised by us to renew all your Let's Encrypt certificates.

Let's Encrypt will revoke all unexpired certificates that used this validation method at 16:00 UTC on 28 January 2022. Renew your certificates now to ensure an uninterrupted experience for your site visitors.

Tous les certificats émis au cours des 90 derniers jours et validés avec le défi TLS-ALPN-01 sont concernés. Vous devez (forcer) le renouvellement du certificat en suivant les instructions de votre client ACME.

Sur https://community.letsencrypt.org/t/170449 dans les commentaires, vous trouverez également la façon de renouveler avec mod_md.

! ! Nous vous conseillons de renouveler tous vos certificats Let's Encrypt.

Let's Encrypt révoquera tous les certificats non expirés qui ont utilisé cette méthode de validation à 16:00 UTC le 28 janvier 2022. Renouvelez vos certificats dès maintenant pour garantir une expérience ininterrompue aux visiteurs de votre site.

[alex]

Oups ! Je vois seulement ça...

Mais qu'est-ce qui a bien pu se passer pour qu'ils révoquent si vite les certificats concernés ?!

Pour ce qui est de ce tuto, ça va, vu qu'il s'agit de certificats wildcard, la validation utilisée ne peut être que DNS-01.
Sinon, pour forcer le renouvellement d'un certificat, c'est très simple et ça se passe ici : https://chez-oim.org/index.php/topic,2171.0.html#post_renew


Pour le tuto MOD_MD de Apache, la validation par défaut est HTTP-01.
Sinon, pour forcer le renouvellement des certificats, ouvrez le fichier httpd.conf et recherchez la ligne MDRenewWindow pour la remplacer par la ligne suivante :

Code

MDRenewWindow 60d

Redémarrez Apache et attendez quelques minutes, ensuite remettez la ligne dans sont état d'origine et relancez Apache. Vous devriez avoir votre nouveau certificat.

Code

MDRenewWindow 30d

Et enfin, pour le tuto le.exe/le.pl la validation est HTTP-01.

Ca n'empêche que j'aimerais bien savoir ce qui s'est passé...

[alex]

La parano a pris le dessus, j'ai quand même forcé le renouvellement des certificats chez-oim.org malgré l'absence de risques vu que la méthode de validation DNS-01 est utilisée.

Code

acme.sh --renew -d chez-oim.org --ecc --dns dns_ispconfig --force

J'ai fait de même en local avec le module MOD_MD de Apache alors que je savais très bien que la validation HTTP-01 était utilisée...

Code

MDRenewWindow 60d