Émettre et renouveler

Automate Certificates demande les certificats à Let's Encrypt via ACME v2. Cette page suit un certificat de la demande au renouvellement.

Demander un certificat

Vérifiez qu'un compte ACME est enregistré dans Paramètres.
Sur la page Certificats, demandez un certificat et saisissez un ou plusieurs noms de domaine.
Choisissez le type de clé : ECDSA-P256 (par défaut), ECDSA-P384, RSA-2048 ou RSA-4096.
Choisissez le type de challenge : dns-01 (par défaut) ou http-01.

Un nom générique tel que *.example.com ne peut être validé qu'avec DNS-01. Pour conserver votre propre clé privée, envoyez une demande de signature de certificat PEM via l'API ; ses domaines doivent correspondre à la demande.

Challenges DNS-01

Avec DNS-01, le certificat reste à l'état d'émission et la page affiche les enregistrements TXT à publier. Publiez-les dans un délai de 24 heures. Les enregistrements sont vérifiés toutes les 5 minutes, et l'émission se termine d'elle-même dès qu'ils sont visibles. L'application n'écrit pas les enregistrements DNS à votre place dans l'application web. La résolution automatique via l'API Cloudflare n'existe que dans l'API et nécessite des identifiants Cloudflare ; sans eux, l'appel renvoie une erreur accompagnée d'une indication.

Challenges HTTP-01

Avec HTTP-01, l'application sert elle-même la réponse au challenge, et un renouvellement HTTP-01 ne demande aucune action de votre part.

Renouvellement

Une tâche planifiée lance chaque renouvellement 30 jours avant l'expiration.
Un renouvellement HTTP-01 se termine de lui-même.
Un renouvellement DNS-01 nécessite de nouveaux enregistrements TXT à chaque fois. Les administrateurs de l'espace de travail les reçoivent par e-mail et sur la page Alertes, et un événement webhook est envoyé.
Un renouvellement échoué est retenté une fois par jour. Chaque échec déclenche une alerte et un événement webhook avec son motif, et est consigné dans le journal d'audit.

Déployer un certificat renouvelé

Déployez à la main avec Déployer sur la page Certificats. Pour déployer automatiquement chaque renouvellement, créez une règle ou une planification via l'API (POST /v1/automation/rules). Chaque exécution apparaît dans Déploiements.

Importer, révoquer et exporter

Vous pouvez importer un certificat existant, en révoquer un auprès de l'autorité de certification, et exporter un certificat au format PEM ou PFX. L'export d'une clé privée exige un administrateur et est consigné dans le journal d'audit.