Pillole di Hosting: Certificati SSL con Let's Encrypt

Tabella dei contenuti

Come richiedere un certificato wildcard con Let's Encrypt, e come aggiungere il record TXT per acme challenge

Oltre a Let's Encrypt, su Plesk è possibile installare anche l'estensione SSL It, molto comoda per gestire alcuni aspetti della configurazione SSL, come l'HSTS.

All'interno del pannello di ogni singolo dominio è possibile quindi richiedere un certificato wildcard con Let's Encrypt attraverso SSL It.

Cliccando su "Emetti/Riemetti certificato" viene aperto un modale dove è possibile scegliere se richiedere un certificato per il singolo sottodominio, oppure per tutti i possibili sottodomini (wildcard).

In questo secondo caso Let's Encrypt richiede l'aggiunta di un record TXT sulla configurazione DNS del dominio scelto, che molto spesso è ospitata su un registar esterno come Aruba oppure OVH:

Il record ha questa forma:

_acme-challenge.dominio.it IN TXT stringa_alfa_numerica

Per aggiungerlo è sufficiente aprire la configurazione DNS del dominio, cliccare su Aggiungi record, o equivalente (esempio Aruba), ed infine cliccare su Applica:

E' importante scegliere il tipo di record corretto, che in questo caso è di tipo TXT. Dopo aver applicato la configurazione è consigliato attendere qualche minuto per dare tempo alla propagazione DNS di avere effetto. Dopo è possibile cliccare su Ricarica nella finestra di richiesta certificato SSL It/Let's Encrypt per completare la procedura.

A procedura terminata è possibile anche verificare che il record sia stato attivato correttamente con:

dig txt _acme-challenge.nomedominio.it +short

che dovrà ritornare la stringa alfanumerica del record.

Skip wildcard certificate renewal for the domain. TXT record could not be created automatically

Questo errore si verifica quando Let's Encrypt non riesce a configurare automaticamente il record TXT per la richiesta del wildcard. Può accadere per svariati motivi:

• il DNS del dominio è su un registar esterno
• ci sono errori sul servizio DNS del server

Per risolvere il caso in cui il DNS del dominio è su un registar esterno basta seguire la procedura indicata nella sezione precedente per l'aggiunta del record TXT.

Eventuali errori sul servizio DNS locale del server devono essere investigati separatamente.

DNS problem: SERVFAIL looking up A for - the domain's nameservers may be malfunctioning

Questo errore si verifica quando Let's Encrypt non trova un puntamento DNS per il dominio principale, in particolare sul record A. Puoi verificare che il dominio principale (non un sottodominio) sia puntato correttamente con:

dig nomedominio.it +short

Nel caso in cui questo comando non restituisca niente significa che il dominio non è puntato correttamente. L'output esteso può confermare l'assenza del record DNS:

;nomedominio.it.  IN A

Quando il nome principale del dominio è puntato correttamente l'output esteso di dig sarà (80.18.56.6 è un ip fittizio):

;nomedominio.it.  IN A 80.18.56.6