Chứng chỉ SSL cho domain và các subdomain

Let’s Encrypt cho phép tạo chứng chỉ bảo mật cho domain và tất cả các subdomain cùng lúc. Điều này rất tiện lợi trong xây dựng web server, mail server…

Câu lệnh certbot

certbot certonly --server https://acme-v02.api.letsencrypt.org/directory --manual --preferred-challenges dns -d your.domain -d '*.your.domain'

Chú ý là *.your.domain đặt trong nháy đơn.

Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator manual, Installer None
Obtaining a new certificate
Performing the following challenges:
dns-01 challenge for your.domain
dns-01 challenge for your.domain
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Please deploy a DNS TXT record under the name
_acme-challenge.your.domain with the following value:

QSfj89lW2hp4AZkNKZJnRTPcOO4oHgD_5Ofb7BWXapM

Before continuing, verify the record is deployed.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

Trong quá trình làm việc, Let’s Encrypt yêu cầu tạo record TXT với tên và giá trị cho trước. Chúng ta phải có quyền đăng nhập vào DNS server quản lý domain để tạo record này. Theo thí dụ trên:

Name: _acme-challenge
Value: QSfj89lW2hp4AZkNKZJnRTPcOO4oHgD_5Ofb7BWXapM

Sau khi tạo record TXT, phải chờ một chút để record có hiệu lực trên internet. Enter để tiếp tục.

Waiting for verification...
Cleaning up challenges

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/your.domain/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/your.domain/privkey.pem
   Your cert will expire on 2019-08-01. To obtain a new or tweaked
   version of this certificate in the future, simply run certbot
   again. To non-interactively renew *all* of your certificates, run
   "certbot renew"
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le

Xong rồi! Sau này, domain và tất cả subdomain đều tham chiếu đến cùng các file /etc/letsencrypt/live/your.domain/fullchain.pem và /etc/letsencrypt/live/your.domain/privkey.pem, ngay cả với các subdomain mới tạo sau này.