Certificados SSL/TLS
Tus servidores presentan un certificado al inicio de cada conexión, y las claves de acceso de cada granja incluyen uno de ellos. MANAGER genera uno para cada nueva granja, y también puede obtener y renovar automáticamente certificados de confianza de Let's Encrypt.
Dónde encontrarlos
Abre Server Farms y selecciona la granja: en SSL / TLS Certificates verás la lista, con un distintivo que indica cuál está incluido en las claves. Al hacer clic en el título se abre la lista completa, que muestra también Mode y Priority de cada certificado.
Cada nueva granja incluye uno: un certificado autofirmado con un nombre provisional, utilizado en sus claves hasta que elijas otro.
La página de cada servidor muestra esta misma lista, pero solo con los certificados exclusivos de ese servidor.
Configuración del certificado
Selecciona el dominio de un certificado para abrirlo.
- Visibility define quién recibe el dominio del certificado. PublicInToken lo incluye en todas las claves de la granja; solo un certificado puede tener este estado, y asignarlo a otro cambiará este a Public. Un certificado Public asignado a un solo servidor, si es CA Signed, solo llega a las aplicaciones cuando MANAGER las dirige a ese servidor. Un certificado Private nunca se comparte. En cualquier caso, los servidores presentan el certificado a las aplicaciones que soliciten su dominio.
- Signing determina el método de firma. Manual lo mantiene sin cambios. AutoSign permite que Let's Encrypt lo firme y MANAGER lo renueve automáticamente. DomainOnly se usa para dominios con certificados alojados en otro lugar: MANAGER nunca los instala en los servidores y no se incluyen en las claves.
- Used By puede ser Server Farm, para aplicarse a todos los servidores de la granja, o bien a uno específico. Mantén el certificado de las claves en Server Farm para que cualquier servidor pueda presentarlo a las aplicaciones que lo utilicen.
- Priority (Normal, Low o Lowest) define el orden de los dominios con certificados Public cuando MANAGER ofrece varias opciones a las aplicaciones. No modifica el certificado que presenta el servidor.
- Signature muestra CA Signed cuando lo firma una autoridad de certificación, o Self-Signed en caso contrario. Las aplicaciones validan los certificados CA Signed igual que un navegador (por autoridad y nombre), por lo que las claves siguen funcionando tras renovarse. Los certificados Self-Signed solo se aceptan si coinciden con la huella digital de la clave.
- Description es una nota personal. MANAGER no la utiliza.
Añadir un certificado
En SSL / TLS Certificates, selecciona Add, introduce un Domain Name y elige Create. MANAGER crea un certificado autofirmado para el dominio, Public y Manual, y lo abre. Los demás campos solo completan los detalles del certificado.
Si se añade desde la página propia de un servidor, solo lo usará ese servidor.
Para que lo firme una autoridad de certificación, cambia Signing a AutoSign. Consulta Usar un nombre de dominio y un certificado de confianza para ver los pasos y aprender a incluir el dominio en las claves.
AutoSign
Con AutoSign, MANAGER solicita a Let's Encrypt la firma de un certificado para el dominio. Let's Encrypt verifica el dominio mediante HTTP estándar en el puerto TCP 80, por lo que el dominio debe apuntar a uno de los servidores de la granja con ese puerto abierto. MANAGER realiza la misma comprobación primero. Mientras tanto, Signing muestra Validating....
Unos 30 días antes de que caduque el certificado, MANAGER lo renueva automáticamente. Los certificados de Let's Encrypt duran 90 días.
Si una comprobación falla, Signing muestra el motivo en rojo. MANAGER vuelve a intentarlo una vez al día; tras seis fallos seguidos, restablece Signing a Manual. Para reintentarlo de inmediato, selecciona Manual y luego AutoSign.
Subir un certificado
Upload permite cargar un certificado externo: un archivo PFX con su clave privada (que debe ser exportable) y su Certificate Password. Elige su Visibility al subirlo; empieza como Private. Signature mostrará CA Signed si MANAGER puede verificar la firma.
Toda la granja utiliza el certificado subido, incluso si lo cargas desde la página de un servidor específico. Para asignarlo a un solo servidor, cambia su Used By después.
El certificado en las claves
Las claves de la granja contienen el dominio de su certificado PublicInToken y su huella digital. Si es CA Signed, las aplicaciones buscan el dominio y aceptan cualquier certificado firmado por una autoridad para él. Si es Self-Signed, solo aceptan ese certificado y necesitan la dirección de un servidor para conectarse: en ese caso, MANAGER exige que uno de los servidores de la granja tenga una dirección PublicInToken.
Al asignar PublicInToken a otro certificado, el anterior permanece en los servidores como Public, permitiendo que las claves antiguas sigan funcionando. Las aplicaciones reciben la nueva clave al conectarse, ya que Push token to clients está activo de forma predeterminada, siempre que un servidor de la granja tenga una dirección PublicInToken.
Añadir o subir un certificado para un dominio existente en la granja reemplaza y elimina el anterior. El nuevo conserva la Visibility previa si era superior, manteniendo la renovación en las claves. Las claves anteriores siguen funcionando si el nuevo certificado es CA Signed. Si es autofirmado, deberás enviar nuevas claves a tus usuarios.
Eliminar un certificado
Selecciona Delete en su cuadro de diálogo. MANAGER no permite eliminar el certificado incluido en las claves ni el último certificado que use toda la granja: asigna primero PublicInToken a otro certificado o añade uno nuevo.
