Letsencrypt certificat SSL gratuit

[Dunatotatos]

En plus d'être vieux, il n'est pas forcément simple d'utilisation. Évidemment, si tout est en place, c'est plus facile de tout laisser en place. Mais lors de cette mise en place :
./letsencrypt-auto --agree-tos --renew-by-default --standalone --standalone-supported-challenges http-01 --http-01-port 9999 --server https://acme-v01.api.letsencrypt.org/directory certonly -d domaine.tld
./certbot --standalone certonly -d domain.tld
J'ai vite fait mon choix ^^

[lol]

Relis ce que j'ai mis en post #12 ;-)
Autrement dit, ton client est vieux !!!

Aussi vieux que moi...
J'avais lu mais je n'avais pas voulu assimiler l'info... Ça m'emmerde un peu de changer alors que ça fait pas deux mois que je l'utilise...

Bref, oui, il va falloir que je bascule (et que je change le tuto et la page wiki à peine publiées)...
Je vais regarder comment ça se joue, et surtout comment ça réagit avec l'install de letsencrypt. J'aimerais bien un truc en douceur!

Vu ton dernier post Duna. Oui la syntaxe est plus simple, y'a pas photo.
Et de toute façon si c'est le nouveau il faut basculer pour éviter les risques de zero day potentiel avec le client qui n'est plus maintenu.

[lol]

Salut,
Il va falloir m'expliquer parce que c'est pas avec cette page https://letsencrypt.org/getting-started/ que je vais m'en sortir...

Code : Tout sélectionner

# cd /opt
# git clone https://github.com/certbot/certbot
# cd certbot
# ./certbot-auto --help

Jusque là tout va bien...

Mais pour la suite WTF ?

Code : Tout sélectionner

# certbot --apache
-bash: certbot : commande introuvable

[Dunatotatos]

./certbot-auto --apache

[lol]

Ok merci.
Ça fonctionne mieux.

Mais pas question que je me lance à l'aveuglette sans savoir que ce Cerbot va faire dans mes confs...
Donc toujours au point mort sur ce truc. Je comprend pas qu'il n'existe pas une doc plus précise - Je n'ai rien trouver dans les fichiers du git.
Et Internet n'est pas bavard.

[Dunatotatos]

Si tu ne veux pas que certbot touche à ta conf, utilise toutes les options sauf --apache. C'est la seule qui change des fichiers en dehors des webroots et des dossiers de letsencrypt.

[lol]

Si tu ne veux pas que certbot touche à ta conf, utilise toutes les options sauf --apache. C'est la seule qui change des fichiers en dehors des webroots et des dossiers de letsencrypt.

Hello,

Code : Tout sélectionner

# ln -s /opt/certbot/certbot-auto /usr/local/bin/certbot
# certbot renew --dry-run
Creating virtual environment...
Installing Python packages...
Installation succeeded.
...
-------------------------------------------------------------------------------
Processing /etc/letsencrypt/renewal/debian-fr.xyz.conf
-------------------------------------------------------------------------------
...
Congratulations, all renewals succeeded. The following certs have been renewed:
...

Ça va beaucoup mieux. Certbot reprend les fichiers de conf de letsencrypt, c'est cool.
Je n'explorerais malheureusement pas les autres commandes.
certbot --apache
certbot certonly --webroot

C'est dommage. Si quelqu'un veut s'y coller (pour compléter le T&A et la page du Wiki) il est le bienvenu.
Je ferais ma partie (celle confirmée par mes tests) dans quelques jours. Là, je suis dans le jus complet.

[PengouinPdt]

Bon, j'ai mis à jour la page wiki : Letsencrypt avec les informations relatives à nginx.
+ quelques petites modifs de pagination ;)

Il faut vérifier, et relire derrière moi. :D

[lol]

Bon, j'ai mis à jour la page wiki : Letsencrypt avec les informations relatives à nginx.
+ quelques petites modifs de pagination ;)

Il faut vérifier, et relire derrière moi. :D

Super, merci pour le boulot! Je crois qu'un seul truc manque, le lien symbolique de certbot vers certbot-auto.
Je me pose une question: Je renomme la page en certbot et je fais les changements en fonction, ou on fait une nouvelle page certbot en plus de letsencrypt ?

[PengouinPdt]

Non, renommage ... certbot étant le client officiel, maintenant - si j'ai bien compris ... le nom 'letsencrypt' en tant que client logiciel semble disparaître ...

[lol]

Non, renommage ... certbot étant le client officiel, maintenant - si j'ai bien compris ... le nom 'letsencrypt' en tant que client logiciel semble disparaître ...

Oui, c'est effectivement le client officiel de Letsencrypt.

Certbot, the recommended Let’s Encrypt client

Je pense aussi que c'est mieux de renommer. Je ferais la même chose avec le T&A.

[lol]

Hello,
Je suis en train d'étudier Certbot pour refaire Wiki et T&A, et on se retrouve avec plusieurs façons d'installer le truc...

1. apt-get install certbot (Mais faut ajouter les backports)
2. git clone https://github.com/certbot/certbot.git
3. wget https://dl.eff.org/certbot-auto

Vous avez essayé la troisième solution ?
Votre solution préférée c'est le paquet Debian (c'est le paquet Stretch porté dans Jessie...) ?

[PengouinPdt]

Pour l'instant, testé aucun !

[lol]

Pour l'instant, testé aucun !

OK, ça me laisse de la marge!
Je vais commencer par le script, à priori c'est ce qui entraîne le moins de dépendance (et pas de backports).
Pour un serveur c'est l'idéal.

[Dunatotatos]

J'avais testé l'installation par les dépôts, mais les dépendances ont eu raison de moi. Ça reste la solution la meilleure, tant qu'on ne s’enquiquine pas trop avec le sources.list ^^
Ma solution préférée, c'est le git. Les mises à jour sont faciles à faire, et il y a peu de chance que le dépôt git change d'adresse (contrairement au lien de DL). Quand la testing passera stable, ma solution préférée sera l'installation par les dépôts, évidemment !

Et de manière générale, j'ai une réticence à télécharger un script en lien direct... Pour info, le script du lien que tu as donné est exactement le même script que certbot-auto présent dans le dépôt git. Je ne l'ai pas essayé, mais je doute qu'il fonctionne tout seul sans tous les fichiers python qui traînent autour. À moins qu'il ne gère l'installation ?

[lol]

Et de manière générale, j'ai une réticence à télécharger un script en lien direct... Pour info, le script du lien que tu as donné est exactement le même script que certbot-auto présent dans le dépôt git. Je ne l'ai pas essayé, mais je doute qu'il fonctionne tout seul sans tous les fichiers python qui traînent autour. À moins qu'il ne gère l'installation ?

Si le script gère tout, y comprit les dépendances (qui sont toutes en stable; inutile d'ajouter les backports). Et il s'auto-udate.
Pour ce qui est de la "sécurité", outre le https, ils donnent une clé gpg pour vérifier le téléchargement.
Le git entraîne d'après moi tout un tas de dossiers inutiles (16Mo).
Le paquet Debian des backports entraine des dépendances que je n'aime pas trop pour un serveur.

Code : Tout sélectionner

# apt-get -t jessie-backports install -s certbot
Reading package lists... Done
Building dependency tree       
Reading state information... Done
The following extra packages will be installed:
  python-acme python-certbot python-cffi-backend python-chardet python-configargparse python-configobj python-cryptography python-dialog
  python-enum34 python-funcsigs python-idna python-ipaddress python-mock python-ndg-httpsclient python-openssl python-parsedatetime
  python-pbr python-psutil python-pyasn1 python-pyicu python-requests python-rfc3339 python-six python-tz python-urllib3
  python-zope.component python-zope.event python-zope.interface
Suggested packages:
  python-certbot-apache python-certbot-doc python-configobj-doc python-cryptography-doc python-cryptography-vectors python-enum34-doc
  python-funcsigs-doc python-mock-doc python-openssl-doc python-openssl-dbg doc-base python-ntlm
Recommended packages:
  letsencrypt
The following NEW packages will be installed:
  certbot python-acme python-certbot python-cffi-backend python-chardet python-configargparse python-configobj python-cryptography
  python-dialog python-enum34 python-funcsigs python-idna python-ipaddress python-mock python-ndg-httpsclient python-openssl
  python-parsedatetime python-pbr python-psutil python-pyasn1 python-pyicu python-requests python-rfc3339 python-six python-tz
  python-urllib3 python-zope.component python-zope.event python-zope.interface
0 upgraded, 29 newly installed, 0 to remove and 50 not upgraded.
Inst python-cffi-backend (1.4.2-2~bpo8+1 Debian Backports:jessie-backports [amd64])
Inst python-chardet (2.3.0-1 Debian:8.5/stable [all])
Inst python-configargparse (0.10.0-2~bpo8+1 Debian Backports:jessie-backports [all])
Inst python-six (1.9.0-3~bpo8+1 Debian Backports:jessie-backports [all])
Inst python-configobj (5.0.6-1 Debian:8.5/stable [all])
Inst python-enum34 (1.0.3-1 Debian:8.5/stable [all])
Inst python-idna (2.0-3~bpo8+1 Debian Backports:jessie-backports [all])
Inst python-ipaddress (1.0.16-1~bpo8+1 Debian Backports:jessie-backports [all])
Inst python-pyasn1 (0.1.9-1~bpo8+1 Debian Backports:jessie-backports [all])
Inst python-cryptography (1.1.1-1~bpo8+1 Debian Backports:jessie-backports [amd64])
Inst python-dialog (3.3.0-2~bpo8+1 Debian Backports:jessie-backports [amd64])
Inst python-funcsigs (0.4-2~bpo8+1 Debian Backports:jessie-backports [all])
Inst python-openssl (0.15.1-2~bpo8+1 Debian Backports:jessie-backports [all])
Inst python-ndg-httpsclient (0.4.0-3~bpo8+1 Debian Backports:jessie-backports [all])
Inst python-parsedatetime (1.4-1 Debian:8.5/stable [all])
Inst python-pbr (1.8.0-4~bpo8+1 Debian Backports:jessie-backports [all])
Inst python-psutil (2.1.1-1+b1 Debian:8.5/stable [amd64])
Inst python-pyicu (1.8-1 Debian:8.5/stable [amd64])
Inst python-urllib3 (1.12-1~bpo8+1 Debian Backports:jessie-backports [all])
Inst python-requests (2.8.1-1~bpo8+1 Debian Backports:jessie-backports [all])
Inst python-tz (2012c+dfsg-0.1 Debian:8.5/stable [all])
Inst python-rfc3339 (1.0-4~bpo8+1 Debian Backports:jessie-backports [all])
Inst python-zope.interface (4.1.1-3.1 Debian:8.5/stable [amd64])
Inst python-mock (1.3.0-2.1~bpo8+1 Debian Backports:jessie-backports [all])
Inst python-acme (0.6.0-1~bpo8+1 Debian Backports:jessie-backports [all])
Inst python-zope.event (4.0.3-2 Debian:8.5/stable [all])
Inst python-zope.component (4.2.1-2 Debian:8.5/stable [all])
Inst python-certbot (0.6.0-2~bpo8+1 Debian Backports:jessie-backports [all])
Inst certbot (0.6.0-2~bpo8+1 Debian Backports:jessie-backports [all])
Conf python-cffi-backend (1.4.2-2~bpo8+1 Debian Backports:jessie-backports [amd64])
Conf python-chardet (2.3.0-1 Debian:8.5/stable [all])
Conf python-configargparse (0.10.0-2~bpo8+1 Debian Backports:jessie-backports [all])
Conf python-six (1.9.0-3~bpo8+1 Debian Backports:jessie-backports [all])
Conf python-configobj (5.0.6-1 Debian:8.5/stable [all])
Conf python-enum34 (1.0.3-1 Debian:8.5/stable [all])
Conf python-idna (2.0-3~bpo8+1 Debian Backports:jessie-backports [all])
Conf python-ipaddress (1.0.16-1~bpo8+1 Debian Backports:jessie-backports [all])
Conf python-pyasn1 (0.1.9-1~bpo8+1 Debian Backports:jessie-backports [all])
Conf python-cryptography (1.1.1-1~bpo8+1 Debian Backports:jessie-backports [amd64])
Conf python-dialog (3.3.0-2~bpo8+1 Debian Backports:jessie-backports [amd64])
Conf python-funcsigs (0.4-2~bpo8+1 Debian Backports:jessie-backports [all])
Conf python-openssl (0.15.1-2~bpo8+1 Debian Backports:jessie-backports [all])
Conf python-ndg-httpsclient (0.4.0-3~bpo8+1 Debian Backports:jessie-backports [all])
Conf python-parsedatetime (1.4-1 Debian:8.5/stable [all])
Conf python-pbr (1.8.0-4~bpo8+1 Debian Backports:jessie-backports [all])
Conf python-psutil (2.1.1-1+b1 Debian:8.5/stable [amd64])
Conf python-pyicu (1.8-1 Debian:8.5/stable [amd64])
Conf python-urllib3 (1.12-1~bpo8+1 Debian Backports:jessie-backports [all])
Conf python-requests (2.8.1-1~bpo8+1 Debian Backports:jessie-backports [all])
Conf python-tz (2012c+dfsg-0.1 Debian:8.5/stable [all])
Conf python-rfc3339 (1.0-4~bpo8+1 Debian Backports:jessie-backports [all])
Conf python-zope.interface (4.1.1-3.1 Debian:8.5/stable [amd64])
Conf python-mock (1.3.0-2.1~bpo8+1 Debian Backports:jessie-backports [all])
Conf python-acme (0.6.0-1~bpo8+1 Debian Backports:jessie-backports [all])
Conf python-zope.event (4.0.3-2 Debian:8.5/stable [all])
Conf python-zope.component (4.2.1-2 Debian:8.5/stable [all])
Conf python-certbot (0.6.0-2~bpo8+1 Debian Backports:jessie-backports [all])
Conf certbot (0.6.0-2~bpo8+1 Debian Backports:jessie-backports [all])

Le script lui install les paquets (jessie) suivants:

Code : Tout sélectionner

The following NEW packages will be installed:
  augeas-lenses cpp cpp-4.9 dh-python dialog gcc gcc-4.9 libasan1 libatomic1 libaugeas0 libc-dev-bin libc6-dev
  libcilkrts5 libcloog-isl4 libexpat1-dev libffi-dev libgcc-4.9-dev libisl10 libitm1 liblsan0 libmpc3 libmpdec2
  libmpfr4 libpython-dev libpython2.7-dev libpython3-stdlib libpython3.4-minimal libpython3.4-stdlib libssl-dev
  libtsan0 libubsan0 linux-libc-dev python-chardet-whl python-colorama-whl python-dev python-distlib-whl
  python-html5lib-whl python-pip-whl python-pkg-resources python-requests-whl python-setuptools-whl python-six-whl
  python-urllib3-whl python-virtualenv python2.7-dev python3 python3-minimal python3-pkg-resources python3-virtualenv
  python3.4 python3.4-minimal virtualenv zlib1g-dev

Bref, en ce qui me concerne, j'ai toutes les raisons de commencer par le script.

[lol]

Pour info, le script du lien que tu as donné est exactement le même script que certbot-auto présent dans le dépôt git. Je ne l'ai pas essayé, mais je doute qu'il fonctionne tout seul sans tous les fichiers python qui traînent autour. À moins qu'il ne gère l'installation ?

Oui c'est exactement le même:

Code : Tout sélectionner

# diff certbot-auto certbot/certbot-auto
#

Ce n'est donc pas utile d'avoir le clone intégral du dépôt sur sa machine.
Les fichiers python "autour" n'apportent rien de plus.

[Dunatotatos]

C'est bon à savoir. Je me demande à quoi ils servent, du coup !

[PengouinPdt]

Bon, j'ai été obligé ce soir de m'occuper de la régénération de mon certificat pour mon domaine principal ...
Je m'en suis occupé à partir de mon script HostME, qui fait appel au client officiel ...
Il a été obligé de se mettre à jour de la version 0.5.0 vers la version 0.7.0, puis de la mise-à-jour vers la version 0.8.1, en basculant entre temps de nom de script de letsencrypt vers certbot ;)

Une fois les mises-à-jours exécutées, il a fait son travail en arrière plan pour me restituer que le certificat principal était renouvelé ;)
Bref, ce qui est remarquable, c'est que la rétro-compatibilité du nom est assuré... il est toujours possible de l'exécuter en tant que letsencrypt-auto.

Code : Tout sélectionner

Let's Encrypt client : letsencrypt
Let's Encrypt binaire : /opt/letsencrypt/letsencrypt-auto
Checking for new version...
Upgrading letsencrypt-auto 0.5.0 to 0.7.0...
Replacing letsencrypt-auto...
   cp -p /opt/letsencrypt/letsencrypt-auto /tmp/user/0/tmp.PiUaohTG6G/letsencrypt-auto.permission-clone
   cp /tmp/user/0/tmp.PiUaohTG6G/letsencrypt-auto /tmp/user/0/tmp.PiUaohTG6G/letsencrypt-auto.permission-clone
   mv -f /tmp/user/0/tmp.PiUaohTG6G/letsencrypt-auto.permission-clone /opt/letsencrypt/letsencrypt-auto
Creating virtual environment...
Installing Python packages...
The directory '/home/user/.cache/pip/http' or its parent directory is not owned by the current user and the cache has been disabled. Please check the permissions and owner of that directory. If executing pip with sudo, you may want sudo's -H flag.
The directory '/home/user/.cache/pip' or its parent directory is not owned by the current user and caching wheels has been disabled. check the permissions and owner of that directory. If executing pip with sudo, you may want sudo's -H flag.

Installation succeeded

Let's Encrypt client : letsencrypt
Let's Encrypt binaire : /opt/letsencrypt/letsencrypt-auto
Upgrading certbot-auto 0.7.0 to 0.8.1...
Replacing certbot-auto...
Creating virtual environment...
Installing Python packages...
The directory '/home/user/.cache/pip/http' or its parent directory is not owned by the current user and the cache has been disabled. Please check the permissions and owner of that directory. If executing pip with sudo, you may want sudo's -H flag.
The directory '/home/user/.cache/pip' or its parent directory is not owned by the current user and caching wheels has been disabled. check the permissions and owner of that directory. If executing pip with sudo, you may want sudo's -H flag.

Installation succeeded.

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at
   /etc/letsencrypt/live/stephane-huc.net/fullchain.pem. Your cert
   will expire on 2016-09-17. To obtain a new or tweaked version of

[lol]

Bon à savoir, merci du retour!
Letsencrypt est d’autant plus remarquable qu’il commence à pousser les autres certificateurs à améliorer leur service (les enfoirés! ).
Je vois venir des scripts automatiques chez startssl....