Sectigo ACME Certificate-as-a-Service: заказ, домены и ключи EAB

Печать

Коротко: Sectigo ACME Certificate-as-a-Service представляет собой подписку, с которой Ваш сервер сам запрашивает и продлевает сертификаты Sectigo по протоколу ACME. Её заказывают в личном кабинете TopHost, затем указывают домены, копируют данные ACME (идентификатор EAB, ключ HMAC EAB и адрес сервера) и вводят их в ACME-клиент: Certbot, acme.sh или win-acme. Дальше клиент продлевает сертификаты без Вашего участия.

Кому подходит эта услуга

У Вас VPS или выделенный сервер, и нужны сертификаты Sectigo, которые продлеваются сами, без ручного перевыпуска и переустановки файлов.
Требуется wildcard или много имён в одной подписке.
Не хочется тратить время из-за всё более коротких сроков сертификатов: обычный сертификат, заказанный по инструкции о платном SSL-сертификате, перевыпускают и устанавливают вручную.

Сайту на виртуальном хостинге TopHost, которому нужен просто HTTPS, обычно достаточно бесплатного сертификата от AutoSSL.

Шаг 1. Закажите подписку

Выберите Sectigo ACME Certificate-as-a-Service. На странице заказа есть такие параметры:

Domain Name for SSL (обязательно): основной домен, например example.com. Вариант с www добавляется без доплаты.
Additional Single Domain SANs: сколько дополнительных отдельных имён нужно, например shop.example.com или example.net.
Additional Wildcard SANs: сколько нужно wildcard-имён. Один wildcard вида *.example.com охватывает все поддомены первого уровня (www, mail, shop и другие), но не более глубокие, такие как a.b.example.com.

Посчитайте имена до заказа: подписка покрывает ровно столько имён, сколько оплачено. Проверьте итог справа, нажмите Продолжить и оплатите счёт.

Параметры заказа Sectigo ACME Certificate-as-a-Service

Шаг 2. Откройте услугу

Когда оплата поступит, перейдите в список услуг и откройте Sectigo ACME Certificate-as-a-Service. Статус настройки будет Awaiting Configuration. Нажмите Configure Now.

Шаг 3. Укажите домены

На странице Subscription configuration впишите имена, которые должны попасть в сертификаты, по одному в строке, например:

example.com
www.example.com
shop.example.com

Wildcard записывается как *.example.com. Нажмите Submit Configuration.

Страница Subscription configuration со списком доменов

ACME-клиент сможет запрашивать сертификаты только для этих имён. Запрос на имя, которого нет в списке, будет отклонён.

Шаг 4. Скопируйте данные ACME

После принятия настройки услуга становится активной, а в разделе SSL Orders Summary появляются:

ACME Account ID: идентификатор Вашего ACME-аккаунта в Sectigo, пригодится при обращении в поддержку;
EAB MAC ID: идентификатор ключа External Account Binding;
EAB MAC Key: парный к нему секретный ключ HMAC;
Server URL: адрес каталога ACME, для DV-сертификатов https://acme.sectigo.com/v2/DV.

В разных ACME-клиентах эти поля называются немного по-разному:

Поле в личном кабинете	Certbot и acme.sh	win-acme
Server URL	`--server`	`--baseuri`
EAB MAC ID	`--eab-kid`	`--eab-key-identifier`
EAB MAC Key	`--eab-hmac-key`	`--eab-key`

Храните EAB MAC Key как пароль: владелец ключа может получать сертификаты на Ваши домены за счёт Вашей подписки. Не публикуйте его на форумах, в общих документах и на скриншотах и не присылайте в тикетах, если мы сами об этом не попросили.

Шаг 5. Подключите сервер

Короткий пример для Certbot с методом webroot, когда сайт лежит в /var/www/example.com:

sudo certbot certonly --webroot -w /var/www/example.com \
  --server https://acme.sectigo.com/v2/DV \
  --eab-kid YOUR_EAB_MAC_ID --eab-hmac-key YOUR_EAB_MAC_KEY \
  --email admin@example.com --agree-tos --non-interactive \
  -d example.com -d www.example.com

Клиент запоминает зарегистрированный аккаунт, поэтому при последующих продлениях данные EAB уже не нужны. Подробные инструкции для разных платформ:

Certbot для Apache и Nginx (Ubuntu, Debian, AlmaLinux, Rocky Linux)
acme.sh на хостинге TopHost с cPanel
LiteSpeed и OpenLiteSpeed через acme.sh
Приложения Node.js
Windows Server IIS через win-acme

Частые вопросы

Нужно ли продлевать сертификаты вручную?

Нет. ACME-клиент регулярно проверяет сертификаты (через cron, таймер systemd или задание планировщика в Windows) и продлевает их до окончания срока. От Вас требуется только вовремя оплачивать подписку и следить, чтобы клиент работал.

Что будет, если подписку не продлить?

Сервер перестанет получать новые сертификаты. Уже выпущенные будут действовать до своей даты окончания, после чего браузеры начнут показывать предупреждение.

Можно ли добавить домен позже?

Да, в пределах количества имён в подписке. Если имён нужно больше, напишите нам в тикете, чтобы изменить подписку.

Клиент выдаёт «unauthorized» или не может зарегистрировать аккаунт.

Проверьте, что адрес сервера, EAB MAC ID и EAB MAC Key скопированы полностью, без пробелов и переносов строк, и что запрошенные имена есть в списке Subscription configuration.

Если у Вас другая платформа или клиент выдаёт ошибку, с которой не удаётся разобраться, откройте тикет и приложите выполненную команду (без EAB MAC Key) и полный текст ошибки.

Категории