Chứng chỉ SSL
Chứng chỉ Let's Encrypt miễn phí được cấp và gia hạn tự động, chuyển hướng HTTPS, chứng chỉ wildcard qua DNS của bạn và cài chứng chỉ mua từ nhà cung cấp khác.
ZoPanel cấp cho mọi website một chứng chỉ Let's Encrypt miễn phí và tự gia hạn. Bạn quản lý chứng chỉ ở tab SSL của website (Website → Quản lý → SSL).
Trước khi bắt đầu
- Quản trị viên phải nhập Email quản trị trong Cài đặt. Email này dùng để đăng ký Let's Encrypt; thiếu nó thì không yêu cầu được chứng chỉ nào.
- Mọi tên miền trên chứng chỉ (tên miền chính và các tên miền phụ) phải trỏ về máy chủ này.
- Cổng 80 phải truy cập được từ Internet: chứng chỉ được xác minh qua HTTP, bằng một đường dẫn challenge luôn hoạt động kể cả khi website chuyển hướng sang HTTPS, chuyển hướng toàn bộ sang nơi khác hay đặt mật khẩu.
Cấp chứng chỉ tự động
Khi bạn tạo website với SSL miễn phí (Let's Encrypt) đang bật, ZoPanel thử cấp chứng chỉ ngay. Nếu tên miền chưa trỏ về máy chủ, website vẫn chạy bằng HTTP và nhật ký tác vụ ghi rõ lý do.
Bạn không cần quay lại thử lại: mỗi giờ, ZoPanel tìm các website đang hoạt động, bật SSL tự động nhưng chưa có chứng chỉ, rồi kiểm tra DNS. Ngay khi tên miền chỉ còn trỏ về máy chủ này, chứng chỉ được cấp. Tên miền phụ còn trỏ nơi khác sẽ được bỏ qua để không làm hỏng cả lần cấp; chúng được thêm vào ở lần cấp sau. Sau mỗi lần thất bại, lần thử kế tiếp của website đó chờ 2, 4, 8 giờ… tối đa một ngày, để không lãng phí giới hạn tần suất (rate limit) của Let's Encrypt.
Muốn cấp hoặc cấp lại thủ công, bấm Cấp chứng chỉ (hoặc Cấp lại) trong tab SSL. Nhật ký tác vụ hiển thị từng bước và thông báo rõ ràng khi xác minh thất bại, ví dụ tên miền chưa phân giải hoặc cổng 80 đang đóng.
Chuyển HTTP sang HTTPS
Khi đã có chứng chỉ, tab SSL hiển thị nhà cấp, ngày hết hạn và hai công tắc:
| Công tắc | Tác dụng |
|---|---|
| Chuyển HTTP sang HTTPS | Mọi request HTTP được chuyển hướng 301 sang HTTPS. ZoPanel cũng gửi header Strict-Transport-Security: max-age=31536000 để trình duyệt nhớ dùng HTTPS trong một năm. |
| Tự gia hạn | Cho phép ZoPanel gia hạn chứng chỉ (mặc định bật với Let's Encrypt). |
Vì có header HSTS, chỉ bật chuyển hướng khi bạn chắc chắn sẽ giữ HTTPS cho tên miền đó.
Gia hạn
ZoPanel kiểm tra chứng chỉ mỗi giờ và gia hạn chứng chỉ Let's Encrypt còn dưới 30 ngày. Nếu gia hạn thất bại, hệ thống thử lại sau 1, 2, 4 rồi 8 ngày (không bao giờ cách nhau quá một tuần), vì Let's Encrypt giới hạn số lần thất bại.
Bạn được báo khi cần xử lý:
- Gia hạn SSL thất bại: gửi cho quản trị viên và chủ website, kèm lỗi cụ thể.
- SSL sắp hết hạn: gửi mỗi ngày một lần khi chứng chỉ còn dưới 14 ngày, giúp phát hiện gia hạn lỗi và chứng chỉ cài tay sắp hết hạn.
Khách hàng chọn loại thông báo trong Tài khoản của tôi → Thông báo. Bảng điều khiển cũng hiển thị SSL sắp hết hạn cho chứng chỉ còn dưới 14 ngày.
Nguyên nhân gia hạn thất bại thường gặp nhất là tên miền không còn trỏ về máy chủ này. Sửa DNS rồi bấm Cấp lại.
Chứng chỉ wildcard
Chứng chỉ wildcard (*.example.com) dùng được cho mọi subdomain. Let's Encrypt chỉ cấp wildcard qua xác minh DNS, nên ZoPanel cần quản lý DNS của tên miền:
- Quản trị viên cài máy chủ DNS (xem DNS).
- Tạo vùng DNS cho tên miền ở trang DNS và khai báo nameserver của máy chủ này tại nhà đăng ký.
- Trong tab SSL của website, chọn Thêm *.example.com (wildcard) rồi bấm Cấp chứng chỉ.
Chứng chỉ gồm example.com và *.example.com. Tên miền phụ đã nằm trong wildcard (ví dụ www.example.com) được bỏ khỏi yêu cầu vì Let's Encrypt từ chối tên trùng lặp; các tên miền phụ khác vẫn giữ. Khi gia hạn, wildcard vẫn được giữ nguyên. Nếu vùng DNS chưa nằm trên máy chủ này, ZoPanel từ chối và hướng dẫn bạn sang trang DNS.
Cài chứng chỉ riêng
Để dùng chứng chỉ của nhà cung cấp khác (ví dụ chứng chỉ OV, EV):
- Trong tab SSL, tìm thẻ Chứng chỉ riêng.
- Dán Chứng chỉ (gồm chain) định dạng PEM: chứng chỉ của bạn trước, sau đó là các chứng chỉ trung gian.
- Dán Khoá riêng (private key) định dạng PEM.
- Bấm Cài chứng chỉ.
ZoPanel kiểm tra khoá có khớp chứng chỉ, chứng chỉ có đúng tên miền của website và còn hạn hay không. Chỉ phần chứng chỉ được ghi vào file chain (ai cũng đọc được); khoá riêng được lưu riêng với quyền hạn chế.
Cài chứng chỉ riêng sẽ tắt Tự gia hạn để ZoPanel không thay nó bằng Let's Encrypt. Hãy gia hạn với nhà cung cấp và cài chứng chỉ mới trước khi hết hạn; cảnh báo 14 ngày sẽ nhắc bạn.
Nếu vùng DNS của tên miền nằm trên máy chủ này, lưu ý vùng mới có sẵn bản ghi CAA chỉ cho phép Let's Encrypt (0 issue "letsencrypt.org"). Hãy thêm bản ghi CAA cho nhà cấp chứng chỉ khác ở trang DNS trước khi đặt mua.
Tắt SSL
Tắt SSL gỡ HTTPS khỏi website và tắt chuyển hướng HTTP sang HTTPS. Khách đã nhận header HSTS vẫn tiếp tục vào bằng HTTPS cho tới khi header hết hạn, vì vậy với website đang chạy, nên cấp lại chứng chỉ thay vì tắt SSL.
Chứng chỉ của panel
Bản thân panel (cổng 8888) nhận chứng chỉ tin cậy ở Cài đặt → Tên miền & SSL cho panel. Trỏ tên miền panel về máy chủ rồi bấm Cấp chứng chỉ. Chứng chỉ này cũng được mail server và webmail sử dụng, và được gia hạn tự động như chứng chỉ website.