Какие проблемы Let's Encrypt для корпоративного использования?

Question

[bernex]

Что-нить использует? На сайтах? На ресурсах публичных и посещаемых?
Есть ли проблемы с защитой данных, риски? Конфиденциальность?
Очень удобно генерировать сертификат, запускать все на новом сервере.
Расскажите об опыте?

Comments

[Ульрих]

А в чем, собсна, проблема? Защиту данных должен обеспечивать админ сервера, а не сертификат.

Answer 1

[ummahusla]

У нас большой корпоративный сайт, думали туда ставить, но почему-то передумали, ибо опасались проблем с совместимостью в браузерах. По идеи их не должно было быть, но всё же решили перестраховались.
Может в следующем году поставим на сайт поменьше, потестируем.

Comments

[Lindon_cano]

https://www.ssllabs.com/ssltest/analyze.html?d=lin...
Handshake Simulation

Нет проблем с совместимостью.

Answer 2

[oni__ino]

Тестировали совместимость с самыми популярными браузерами, все хорошо и даже с относительно не новыми версиями cromium на android устройствах. Конкретно версии вам не назову уже не помню. На данном этапе его можно использовать. У меня на проде около 7 проектов (3 относительно больших) используют такие сертификаты. Остался только вопрос обновления сертификата, недавно обнаружил что их команда не захотела работать через cron когда в ручную все обновляется. Поставте на любой сайт визитку\блог и сами протестируйте совместимость.
Генерация и обновление можно запускать от непревилигированого пользователя, но нужны права на выполнение некоторых команд от sudo (например reload веб-сервера) хотя я так и не понял в standalone режиме reload похоже не запускается.

Comments

[Lindon_cano]

> их команда не захотела работать через cron когда в ручную все обновляется

Глупости говорите. Я с беты использую их сертификаты, все обновляется по крону.

[oni__ino]

не знаю у меня проблема воспроизводится на debian 7, 8 были еще мелкие проблемы но все они решались в первой десятке запросов гугла и в основном с гитхаба.

Answer 3

[entermix]

Недавно FVDS внедрили такой сертификат для всех желающих клиентов. Так что думаю никаких проблем не будет, если уж хостинги предлагают это из коробки.

P.S.Совместимость с браузерами:
https://community.letsencrypt.org/t/which-browsers...

Comments

[Sanes]

Если не ошибаюсь, то эта фича доступна только бета-версии ISPmanager.

[entermix]

Sanes: данный функционал доступен с версии ISPmanager 5.65.

doc.ispsystem.ru/index.php/%D0%98%D0%BD%D1%82%D0%B...
https://www.ispsystem.ru/software/ispmanager/changelog

[Sanes]

entermix: Стабильная версия 5.64.1

[entermix]

Sanes: верно :)

Answer 4

[littleguga]

Никаких проблем, ставьте спокойно.

oni__ino, а также остальные, для безболезненного обновления советую:
https://github.com/littleguga/letsencrypt-config

Собрал конфиг и инструкции по установке в одном месте, немного дополнил от себя. Крутится такая вещь уже на 5 проектах, проблем нет.

> Риски, проблемы, конфиденциальность
Такие же, как при использовании любого другого сертификата

> Установка на новом сервере
Сделал для себя заготовку выше, теперь новая настройка занимает менее 5 минут(основное время это git clone и пока проверю, что правильно домены прописал)

Comments

[Lindon_cano]

Фигня срущая логами в /etc? Вы серьезно? А чего не в /sbin?

[littleguga]

Lindon_cano: немного outdated скрипт, на днях добавлю новый. Спасибо за замечание.

[Lindon_cano]

littleguga: ну я просто стараюсь смотреть кто какие решения для работы с LE делает, увидел вашу ссылку, зашел и испугался :) Не надо так делать, не место логам в /etc, пусть себе живут в /var/log, где им FHS предписано.

[littleguga]

Lindon_cano: да знаю, на проде уже давно в /var/log пишет. Я просто в основном gitlab.com использую и всё там храню. Проекты, который могут быть полезны кому-то еще - перезаливаю на github, но забываю обновлять. А автоматическую синхронизацию настроить руки не доходят.

Answer 5

[Lindon_cano]

Никаких проблем нет.
Проблем со старыми браузерами тоже нет(IE на XP мы не считаем)
Можете посмотреть на пример теста ssllabs сайта с LEшным сертификатом
https://www.ssllabs.com/ssltest/analyze.html?d=lin...
Смотрите в раздел «Handshake Simulation» у теста.

Все делается в считанные минуты, обновление вешается в крон и можно обо всем забыть(плюс LE присылает напоминания о сертификатах которые скоро протухнут).