Jak zainstalować certyfikat SSL na MyDevil

Potrzebne pliki

fullchain.pem i privkey.pem. W panelu wskazujesz je na dysku, a przy poleceniu devil najpierw wgrywasz je na serwer. MyDevil nie podaje, czy przyjmuje klucze ECDSA, dlatego w kroku 1 generatora wybierz „RSA 2048”.

Wgrywaj certyfikat z trybu produkcyjnego. Certyfikat z trybu testowego służy tylko do sprawdzenia procesu: przeglądarki mu nie ufają, a część paneli w ogóle go nie przyjmie.

Zanim zaczniesz

• MyDevil sam wystawia i odnawia darmowe certyfikaty Let's Encrypt: w tym samym formularzu jest „Wygeneruj certyfikat Let's Encrypt”. Wystarczy, że rekord A domeny wskazuje na serwer MyDevil. Nasz generator przyda się, gdy potrzebujesz certyfikatu z gwiazdką (*.twojadomena.pl), którego MyDevil sam nie wystawia, albo gdy rekord A domeny nie wskazuje bezpośrednio na MyDevil (np. strona za Cloudflare).
• Certyfikatu wgranego samodzielnie MyDevil nie odnawia. Przy odnowieniu podmieniasz go ręcznie (przypomnimy e-mailem).
• Domena musi być dodana w „Strony WWW”. W formularzu certyfikatu wybierasz domenę spośród dodanych stron.

Panel DevilWEB

1. Zaloguj się do DevilWEB. Adres panelu zależy od numeru serwera: dla serwera s1.mydevil.net to panel1.mydevil.net. Numer serwera, login i hasło są w e-mailu o aktywacji konta. Możesz też wejść na mydevil.net, kliknąć „Zaloguj się”, w części „Zarządzanie kontem” wybrać swój serwer i kliknąć „Dalej”.
2. W menu wybierz „SSL”, a potem zakładkę „Strony WWW”.
3. W części „Adresy IP, które można użyć z SNI” znajdź adres IP, na który wskazuje Twoja domena (ten sam, co w rekordzie A domeny), i kliknij przy nim „Zarządzaj”. Jeśli masz wykupiony prywatny adres IP i na niego wskazuje domena, wybierz go w części „Adresy IP, które można użyć z SSL”.
4. Przejdź do zakładki „+ Dodaj certyfikat”. Nie wybieraj „Wygeneruj certyfikat Let's Encrypt”: to darmowy certyfikat od MyDevil, a Ty wgrywasz własny.
5. Wskaż plik certyfikatu i plik z kluczem, wybierz domenę (niżej, co gdzie) i zatwierdź formularz.
6. Certyfikat pojawi się na liście certyfikatów przy tym adresie IP.

Który plik w które pole

• Plik certyfikatu: plik fullchain.pem. MyDevil wymaga certyfikatu razem z certyfikatami pośrednimi w jednym pliku i tak właśnie zbudowany jest fullchain.pem. Nie wybieraj samego cert.pem.
• Plik z kluczem: plik privkey.pem (bez hasła, tak jak zapisuje go generator)
• Nazwa domeny: domena, dla której jest certyfikat, wybrana z listy (np. twojadomena.pl)

Polecenie devil przez SSH

Dla osób, które korzystają z SSH. Efekt jest taki sam jak w panelu.

1. Wgraj fullchain.pem i privkey.pem do katalogu domowego konta, czyli tam, gdzie lądujesz po zalogowaniu przez SFTP lub FTP (np. programem FileZilla). Możesz też skorzystać z pozycji „Menedżer plików” w DevilWEB. Nie wgrywaj ich do katalogu strony (public_html): klucz prywatny byłby wtedy dostępny z internetu.
2. Zaloguj się przez SSH danymi z e-maila o aktywacji konta. W Windows użyj programu PuTTY albo polecenia:

   ssh login@s1.mydevil.net

   W miejsce login i s1 wpisz swój login i numer serwera.
3. Sprawdź adres IP, na który wskazuje domena (rekord A). Jeśli domena ma DNS w MyDevil, pokaże go to polecenie (wiersz z typem A):

   devil dns list twojadomena.pl

   Ten sam adres widać w DevilWEB w „SSL” → „Strony WWW”.
4. Dodaj certyfikat. Najpierw podaje się plik certyfikatu (fullchain.pem), potem plik klucza (privkey.pem). W miejsce ADRES_IP wpisz adres z poprzedniego kroku, a w miejsce twojadomena.pl swoją domenę:

   devil ssl www add ADRES_IP ~/fullchain.pem ~/privkey.pem twojadomena.pl

5. Sprawdź, czy certyfikat jest na liście:

   devil ssl www list

Sprawdzenie

Otwórz swoją stronę przez https:// i kliknij kłódkę (albo ikonę ustawień) obok adresu. Szczegóły certyfikatu powinny pokazać wystawcę Let's Encrypt i datę ważności zgodną z panelem. Jeśli przeglądarka nadal pokazuje stary certyfikat, odczekaj kilka minut i odśwież stronę.

Jeśli zamiast strony widzisz ostrzeżenie, kod błędu wyjaśniamy na stronie „Połączenie nie jest prywatne”. Jeśli strona otwiera się przez https, ale wygląda źle albo coś nie działa, zobacz mieszana zawartość. Na koniec włącz przekierowanie z http na https, żeby wszyscy trafiali na bezpieczną wersję.

Dobrze wiedzieć

• Certyfikat jest przypisany do jednej strony z listy „Strony WWW”. Subdomena (np. sklep.twojadomena.pl) jest w MyDevil osobną stroną, więc certyfikat z gwiazdką dodaj osobno przy każdej subdomenie, na której ma działać.
• Przekierowanie na https włączysz w „Strony WWW”: przy stronie kliknij „Szczegóły” i włącz wymuszenie SSL. Przez SSH zrobi to polecenie devil www options twojadomena.pl sslonly on.
• Serv00 i hostUNO korzystają z tego samego panelu DevilWEB, po angielsku. Kroki są takie same: „SSL” → „WWW websites” → „Manage” → „+ Add certificate”.

Przy odnowieniu

MyDevil nie odnawia certyfikatu wgranego samodzielnie. Przy odnowieniu usuń stary certyfikat z listy przy adresie IP i od razu dodaj nowy tymi samymi krokami. Przez SSH: devil ssl www del ADRES_IP twojadomena.pl, a potem devil ssl www add z nowymi plikami.

Rekord DNS przy potwierdzaniu domeny

Jeśli domena korzysta z serwerów DNS MyDevil (dns1.mydevil.net i dns2.mydevil.net) i potwierdzasz ją rekordem DNS: w DevilWEB wybierz „Strefy DNS”, przy domenie kliknij „Edytuj”, a potem „+ Dodaj nowy wpis”. W polu „Wpis” wpisz pełną nazwę razem z domeną (np. _acme-challenge.twojadomena.pl), w polu „Typ” wybierz TXT, w polu „Zawartość” wklej wartość z generatora i kliknij „+ Dodaj”. Przez SSH to samo robi polecenie devil dns add twojadomena.pl _acme-challenge.twojadomena.pl TXT wartość_z_generatora. Przy certyfikacie dla domeny i *.domeny dodajesz dwa rekordy TXT o tej samej nazwie.

Panele hostingów co jakiś czas się zmieniają. Jeśli coś wygląda inaczej niż w opisie, napisz na kontakt@freessl.pl, a poprawimy instrukcję.