Certificados SSL/TLS
Seus servidores apresentam um certificado a cada conexão, e as chaves de acesso de um farm de servidores indicam um deles. O MANAGER cria um certificado para cada novo farm e pode obter e renovar automaticamente certificados confiáveis do Let's Encrypt.
Onde encontrar
Abra Server Farms e acesse o farm desejado: a seção SSL / TLS Certificates lista todos eles, marcando com uma bandeira o certificado incluído nas chaves do farm. Clique no título da lista para ver os detalhes completos, com Mode e Priority de cada um.
Todo farm novo já vem com um certificado autoassinado de nome provisório, usado em suas chaves até você escolher outro.
A página de cada servidor traz a mesma lista, exibindo apenas os certificados exclusivos dele.
Configurações do certificado
Clique no domínio de um certificado para abri-lo.
- Visibility define quem recebe o domínio do certificado. PublicInToken inclui o domínio em todas as chaves do farm (apenas um certificado pode usar esta opção; ao atribuí-la a outro, o anterior passa para Public). Um certificado Public exclusivo de um servidor, se for CA Signed, só é enviado aos aplicativos quando o MANAGER os direcionar para lá. Certificados Private nunca são enviados. Qualquer que seja a opção, os servidores apresentam o certificado aos apps que solicitarem seu domínio.
- Signing define como o certificado é assinado. Manual mantém como está. AutoSign usa o Let's Encrypt para emissão e renovação automática pelo MANAGER, como detalhado abaixo. DomainOnly serve para domínios com certificado externo: o MANAGER não o envia aos servidores e as chaves não podem utilizá-lo.
- Used By pode ser Server Farm (para todos os servidores do farm) ou um servidor específico. Mantenha o certificado das chaves definido como Server Farm para que todos os servidores possam apresentá-lo aos aplicativos conectados.
- Priority (Normal, Low ou Lowest) define a ordem de preferência dos domínios com certificados Public quando o MANAGER disponibiliza vários para os apps. Não altera o certificado que o servidor apresenta.
- Signature exibe CA Signed quando emitido por uma autoridade certificadora e Self-Signed caso contrário. Os aplicativos validam certificados CA Signed como um navegador comum (por autoridade e nome), mantendo as chaves ativas mesmo após renovações. Já os certificados Self-Signed são validados apenas pela impressão digital contida na chave.
- Description é uma anotação para seu controle. O MANAGER não a utiliza.
Adicionar um certificado
Em SSL / TLS Certificates, selecione Add, insira um Domain Name e escolha Create. O MANAGER cria um certificado autoassinado para o domínio, Public e Manual, e o abre. Os demais campos servem apenas para detalhar as informações do certificado.
Se adicionado a partir da página de um servidor específico, o certificado será usado exclusivamente por ele.
Para obter a assinatura de uma autoridade certificadora, mude Signing para AutoSign. O guia Use um nome de domínio e um certificado confiável explica esse processo e como incluir o domínio nas chaves.
AutoSign
Com o AutoSign, o MANAGER solicita ao Let's Encrypt a emissão de um certificado para o domínio. O Let's Encrypt valida o domínio via HTTP padrão na porta TCP 80; portanto, o domínio deve apontar para um dos servidores do cluster com essa porta aberta. O MANAGER faz essa mesma checagem previamente. Durante o processo, Signing exibirá Validating....
Cerca de 30 dias antes do vencimento, o MANAGER renova o certificado automaticamente. Os certificados do Let's Encrypt têm validade de 90 dias.
Se uma validação falhar, o motivo aparecerá em vermelho em Signing. O MANAGER tenta novamente cerca de uma vez ao dia e, após seis tentativas consecutivas sem sucesso, redefine Signing para Manual. Para tentar de novo imediatamente, alterne para Manual e depois retorne para AutoSign.
Enviar um certificado
A opção Upload permite enviar um certificado externo: um arquivo PFX com chave privada exportável e sua respectiva Certificate Password. Defina a Visibility durante o envio (o padrão é Private). O campo Signature mostrará CA Signed caso o MANAGER consiga validar a autoridade emissora.
Um certificado enviado fica disponível para todo o cluster, mesmo se o upload for feito na página de um servidor específico. Para restringi-lo a um único servidor, ajuste a opção Used By em seguida.
O certificado nas chaves
As chaves do cluster incluem o domínio do certificado PublicInToken e sua impressão digital (fingerprint). Se for CA Signed, os aplicativos consultam o domínio e aceitam qualquer certificado emitido por uma autoridade reconhecida. Se for Self-Signed, aceitam apenas esse certificado específico e exigem o endereço de um servidor para acessá-lo: nesse caso, o MANAGER exige que ao menos um dos servidores tenha um endereço PublicInToken.
Ao definir outro certificado como PublicInToken, o anterior permanece nos servidores como Public, garantindo que chaves antigas continuem funcionando. Os aplicativos recebem a nova chave ao conectar, pois a opção Push token to clients vem ativada por padrão — desde que pelo menos um servidor do cluster possua um endereço PublicInToken.
Adicionar ou enviar um certificado para um domínio já existente substitui e exclui o antigo. O novo mantém a Visibility do anterior caso esta fosse maior, preservando a renovação nas chaves. As chaves antigas continuam válidas se o novo certificado for CA Signed. Caso seja autoassinado, será necessário fornecer novas chaves aos usuários.
Excluir um certificado
Selecione Delete na caixa de diálogo. O MANAGER não permite remover o certificado em uso nas chaves nem o último certificado global do cluster: antes de excluir, configure outro como PublicInToken ou adicione um novo.
