Apache Module mod_md

Директива MDActivationDelay

MDActivationDelay duration

Директива MDBaseServer

MDBaseServer on|off

MDBaseServer off

Управляет тем, должен ли базовый сервер (тот, что вне всех VirtualHost) управляться mod_md или нет. По умолчанию, это не так. По той причине, что это может иметь нежелательные побочные эффекты. Рекомендуется использовать виртуальные хосты для всех управляемых доменов и не полагаться на глобальную конфигурацию сервера по умолчанию.

Директива MDCAChallenges

MDCAChallenges name [ name ... ]

MDCAChallenges tls-alpn-01 http-01 dns-01

Устанавливает типы проверок (в порядке приоритета) при подтверждении владения доменом. Поддерживаемые модулем типы проверок - `tls-alpn-01`, `dns-01` и `http-01`. Модуль будет анализировать общую конфигурацию сервера, чтобы определить, какие типы проверок могут быть использованы.

Например, если сервер работает на порте 80, доступен метод `http-01`. Предварительным условием для `dns-01` является настроенная команда MDChallengeDns01. `tls-alpn-01` описан выше в разделе «Проверки https:».

Эта автоматическая настройка работает для большинства конфигураций. Но поскольку Apache - это мощный сервер с множеством конфигурационных параметров, ситуация не ясна для всех возможных случаев. Например, он может работать на нескольких IP-адресах, некоторые из которых доступны по `https:`, а некоторые - нет.

Если вы настроите MDCAChallenges напрямую, эта автоматическая настройка отключается. Вместо этого модуль будет использовать настроенный список проверок при взаимодействии с сервером ACME (тип проверки также должен быть предложен сервером). Эти проверки анализируются в указанном порядке.

Директива MDCertificateAgreement

MDCertificateAgreement accepted

При использовании mod_md для получения сертификата, вы становитесь клиентом Уполномоченной организации по сертификации (например, Let's Encrypt). Это означает, что вам необходимо прочитать и принять их Условия предоставления услуг, чтобы понять, что они предлагают и какие ограничения или требования могут быть наложены. mod_md сам по себе не может соглашаться на подобные вещи.

Директива MDCertificateAuthority

MDCertificateAuthority url

MDCertificateAuthority https://acme-v02.api.letsencrypt.org/directory

URL-адрес, где Уполномоченная организация по сертификации предоставляет свои услуги.

В настоящее время Let's Encrypt предлагает четыре таких URL-адреса. Два для собственной устаревшей версии протокола ACME, обычно называемой ACMEv1. И два для версии RFC 8555, называемой ACMEv2.

Каждая версия имеет 2 конечные точки, так как есть одна для производства и одна для "этапа тестирования" для тестирования. Конечная точка тестирования работает так же, но не выдаст сертификаты, которые будут распознаны браузерами. Однако у неё также очень лояльные ограничения на скорость. Это позволяет многократно тестировать сервис, не блокируя себя.

MDCertificateAuthority https://acme-staging-v02.api.letsencrypt.org/directory

Директива MDCertificateCheck

MDCertificateCheck name url

Директива MDCertificateFile

MDCertificateFile path-to-pem-file

Используется внутри MDomainSet и указывает на файл, содержащий цепочку сертификатов для Управляемого домена. Соответствующий ключ указывается через MDCertificateKeyFile.

<MDomain mydomain.com>
  MDCertificateFile /etc/ssl/my.cert
  MDCertificateKeyFile /etc/ssl/my.key
</MDomain>

Это эквивалент директивы mod_ssl SSLCertificateFile. Она имеет несколько применений.

Например, при миграции существующего домена, использующего статические файлы, на автоматические сертификаты Let's Encrypt. Вы определяете MDomainSet, добавляете файлы сюда и удаляете SSLCertificateFile из ваших VirtualHosts.

Это даст вам то же самое, что и раньше, возможно с меньшим количеством повторяющихся строк в вашей конфигурации. Затем вы можете добавить MDRenewMode 'всегда' к нему, и модуль получит новый сертификат перед истечением срока действия сертификата из файла. После этого вы удаляете MDCertificateFile и перезагружаете сервер.

Еще один случай использования — продление сертификатов Let's Encrypt с помощью других клиентов ACME, например, отличного certbot. Затем позвольте вашим MD указывать на файлы из certbot и использовать их вместе.

Директива MDCertificateKeyFile

MDCertificateKeyFile path-to-file

Используется внутри MDomainSet и указывает на файл, содержащий закрытый ключ для Управляемого домена. Соответствующий сертификат указывается через MDCertificateFile.

Это эквивалент директивы mod_ssl SSLCertificateKeyFile.

Директива MDCertificateMonitor

MDCertificateMonitor name url

MDCertificateMonitor crt.sh https://crt.sh?q=

Это часть HTML пользовательского интерфейса «серверный статус» и не имеет отношения к основному функционалу. Она определяет ссылку, предлагаемую на этой странице для простого просмотра монитора сертификатов. К сконфигурированному URL добавляется отпечаток SHA256 сертификата.

Мониторы сертификатов предлагают контроль над журналами прозрачности сертификатов (CT) для отслеживания использования сертификатов для доменов. Вы, как минимум, увидите, что Let's Encrypt (или любая другая вами сконфигурированная Уполномоченная организация по сертификации) внесла ваши сертификаты в журналы CT.

Предупреждение: журналы сертификатов обновляются, и мониторы принимают эти обновления с некоторой задержкой. Это варьируется в зависимости от журналов и мониторов. Новый сертификат не будет известен сразу.

Директива MDCertificateProtocol

MDCertificateProtocol protocol

MDCertificateProtocol ACME

Определяет используемый протокол. В настоящее время поддерживается только ACME.

Директива MDCertificateStatus

MDCertificateStatus on|off

MDCertificateStatus on

При включении, в Управляемых доменах доступен ресурс по адресу 'https://domain/.httpd/certificate-status', который возвращает JSON-документ с ключами свойств текущего и обновлённого сертификатов — если они доступны.

{
  "valid-until": "Thu, 29 Aug 2019 16:06:35 GMT",
  "valid-from": "Fri, 31 May 2019 16:06:35 GMT",
  "serial": "03039C464D454EDE79FCD2CAE859F668F269",
  "sha256-fingerprint": "1ff3bfd2c7c199489ed04df6e29a9b4ea6c015fe8a1b0ce3deb88afc751e352d"
  "renewal" : { ...renewed cert information... }
}

Директива MDChallengeDns01

MDChallengeDns01 path-to-command

Определяет программу, которая будет вызываться при необходимости настройки/удаления вызова `dns-01`. Программа получает аргумент `setup` или `teardown`, за которым следует имя домена. Для `setup` дополнительно передаётся содержимое вызова.

Вам не нужно указывать это, если возможен метод вызова `http:` или `https:`. Однако, Let's Encrypt делает `dns-01` единственным доступным вызовом для сертификатов с подстановочными знаками. Если вам необходим один из таких сертификатов, вам нужно настроить это.

Подробнее см. раздел о сертификатах с подстановочными знаками выше.

Директива MDContactEmail

MDContactEmail address

Протокол ACME требует указать URL-адрес контакта при регистрации. В настоящее время Let's Encrypt хочет адрес электронной почты (и будет использовать его для уведомления о продлении или изменениях условий предоставления услуг). mod_md использует директиву MDContactEmail email в вашей конфигурации Apache, поэтому, пожалуйста, укажите правильный адрес там. Если MDContactEmail отсутствует, mod_md будет использовать директиву ServerAdmin.

Директива MDDriveMode

MDDriveMode always|auto|manual

MDDriveMode auto

Эта директива существует для обратной совместимости как старое название для MDRenewMode.

Директива MDExternalAccountBinding

MDExternalAccountBinding key-id hmac-64 | none | file

MDExternalAccountBinding none

Настройте значения для ACME «Связывания внешних учётных записей», функции стандарта ACME, которая позволяет клиентам привязывать регистрации к существующей учётной записи клиента на серверах ACME.

Let's Encrypt не требует этого, но другие Уполномоченные организации по сертификации ACME требуют. Проверьте у своей Уполномоченной организации по сертификации ACME, нужны ли вам эти значения и как их получить. Это две строки: идентификатор ключа и значение 'hmac' в кодировке base64.

Вы можете настроить их глобально или для конкретного MDomain. Поскольку эти значения позволяют любому регистрироваться под одной и той же учётной записью, рекомендуется ограничивать права доступа к файлу конфигурации, например, только для root.

Значение также может быть взято из JSON-файла, чтобы сохранить более открытые разрешения на конфигурацию сервера и ограничить разрешения на этот файл. Сам JSON выглядит так:

{"kid": "kid-1", "hmac": "zWND..."}

При изменении значений EAB новые значения будут использоваться при следующем обновлении сертификата.

Директива MDHttpProxy

MDHttpProxy url

Используйте http-прокси для подключения к MDCertificateAuthority. Определите его, если ваш веб-сервер может получить доступ к интернету только через прокси-сервер.

Директива MDMember

MDMember hostname

Вместо перечисления всех имён DNS в одной строке, вы можете использовать MDMember для добавления таких имён в управляемый домен.

<MDomain example.org>
    MDMember www.example.org
    MDMember mail.example.org
</MDomain>

Если вы используете её в глобальном контексте, вне конкретного управляемого домена, вы можете указать только одно значение: 'auto' или 'manual', которое будет по умолчанию для всех других управляемых доменов. См. MDomain для описания этих специальных значений.

Директива MDMembers

MDMembers auto|manual

MDMembers auto

Определяет, будут ли ServerName и ServerAlias значения VirtualHost автоматически добавлены в члены Управляемого Домена или нет.

Директива MDMessageCmd

MDMessageCmd path-to-cmd optional-args

Эта команда вызывается при наступлении одного из следующих событий для управляемого домена: "обновлен", "установлен", "выходит из строя", "ошибка". В будущем могут быть вызваны и другие события, и команда будет игнорировать события, с которыми она не может справиться.

Это более гибкий аналог MDNotifyCmd.

MDMessageCmd /etc/apache/md-message

# will be invoked when a new certificate for mydomain.org is available as: /etc/apache/md-message renewed mydomain.com

Программа не должна блокироваться, так как модуль будет ожидать её завершения. Код возврата, отличный от 0, считается ошибкой.

Событие "ошибка" не является поводом для немедленного беспокойства, так как попытка обновления выполняется достаточно рано, чтобы позволить возобновить работу интернета. Оно сообщается не чаще, чем один раз в час.

Событие "выходит из строя" должно рассматриваться серьёзно. Оно генерируется, когда достигается MDWarnWindow. По умолчанию это составляет 10% от срока действия сертификата, поэтому для Let's Encrypt это сейчас означает 9 дней до истечения срока действия. Предупреждение повторяется не чаще, чем один раз в день.

Событие "обновлён" означает, что новый сертификат получен и сохранён в области "подготовка" в хранилище управляемого домена. Он будет активирован при следующей перезагрузке/перезапуске сервера.

Событие "установлен" срабатывает, когда новый сертификат был перенесён из области "подготовка" в место расположения домена в хранилище управляемого домена. Это происходит при запуске/перезагрузке сервера. В отличие от всех других вызовов, MDMessageCmd выполняется с правами root (в *nix системах) и имеет доступ к файлам сертификатов (и ключам). Сертификаты, необходимые для других приложений или в других форматах, могут быть обработаны на этом событии.

Событие "обновление" срабатывает перед запуском процесса обновления для управляемого домена. Если команда вернёт значение != 0 по этой причине, обновление будет прервано и повторено в следующем цикле. Некоторые конфигурации кластеров используют это, чтобы позволить обновлениям выполняться только на одном узле.

Событие "установка-вызова:тип:домен" срабатывает, когда данные проверки для домена были созданы. Этот вызов выполняется перед тем, как сервер ACME попросит проверить их. Тип — один из типов проверок ACME. Этот вызов выполняется для каждого имени DNS в управляемом домене. Конфигурации кластеров могут использовать это событие для распределения файлов проверок по всем узлам кластера.

ocsp-ошибка происходит, когда MDStapling включён для домена, это указывает на то, что возникла ошибка при получении ответа OCSP от центра сертификации. mod_md будет продолжать попытки.

Директива MDMustStaple

MDMustStaple on|off

MDMustStaple off

Определяет, должен ли запрашиваемый сертификат содержать флаг OCSP Must Staple или нет. Если сертификат имеет этот флаг, сервер обязан отправлять ответ OCSP stapling каждому клиенту. Это работает только если вы настроили mod_ssl для генерации этого (см. SSLUseStapling и аналогичные).

Директива MDNotifyCmd

MDNotifyCmd path [ args ]

Настроенное исполняемое приложение запускается, когда управляемый домен зарегистрировался или обновил свой сертификат. Ему передаётся имя обработанного управляемого домена в качестве дополнительных аргументов (после параметров, указанных здесь). Оно должно возвращать код состояния 0, чтобы указать на успешное выполнение.

Директива MDomain

MDomain dns-name [ other-dns-name... ] [auto|manual]

Все имена в списке управляются как один управляемый домен (MD). mod_md запросит один сертификат, действительный для всех этих имён. Эта директива использует глобальные настройки (см. другие директивы MD ниже). Если вам нужны специфические настройки для одного MD, используйте <MDomainSet>.

Для управляемого домена необходимы ещё 2 настройки: адрес электронной почты для связи (через MDContactEmail или ServerAdmin) и MDCertificateAgreement. Адрес электронной почты ServerAdmin используется для регистрации в ЦС (по умолчанию Let's Encrypt). ЦС может использовать его для уведомлений о изменениях в своих услугах или статусе ваших сертификатов.

Вторая настройка, MDCertificateAgreement, должна иметь значение "принято". Указав это, вы подтверждаете, что принимаете условия обслуживания ЦС.

MDContactEmail admin@example.org
MDCertificateAgreement accepted
MDomain example.org www.example.org

<VirtualHost *:443>
    ServerName example.org
    DocumentRoot htdocs/root

    SSLEngine on
</VirtualHost>

<VirtualHost *:443>
    ServerName www.example.org
    DocumentRoot htdocs/www

    SSLEngine on
</VirtualHost>

В этой директиве можно использовать два специальных имени: 'manual' и 'auto'. Это определяет, должен ли управляемый домен иметь точно тот же список имён, что и в конфигурации ('manual'), или предложить больше удобства. С 'auto' все имена виртуального хоста добавляются в MD. Удобно, что 'auto' также является значением по умолчанию.

MDomain example.org

<VirtualHost *:443>
    ServerName example.org
    ServerAlias www.example.org
    DocumentRoot htdocs/root

    SSLEngine on
</VirtualHost>

MDomain example2.org auto

<VirtualHost *:443>
    ServerName example2.org
    ServerAlias www.example2.org
    ...
</VirtualHost>

В этом примере домен 'www.example.org' автоматически добавляется в MD 'example.org'. Аналогично для 'example2.org', где 'auto' указано явно. При добавлении новых имён ServerAlias в этот виртуальный хост, они также будут добавлены в управляемый домен.

Если вы предпочитаете явно указывать все доменные имена, используйте режим 'manual'. Будет записана ошибка, если имена не совпадают с ожидаемыми.

<MDomainSet> Директива

<MDomainSet dns-name [ other-dns-name... ]>...</MDomainSet>

Это директива MDomain с добавлением возможности добавления настроек только для этого управляемого домена. Фактически, вы можете использовать "<MDomain ..>" как сокращение.

Это позволяет настроить управляемый домен, который использует другой центр сертификации, имеет другие требования к обновлению и т.д.

<MDomain sandbox.example.org>
    MDCertificateAuthority   https://someotherca.com/ACME
</MDomain>

Распространённый случай использования — настройка требований https для ваших доменов отдельно.

<MDomain example.org>
    MDRequireHttps temporary
</MDomain>

Директива MDPortMap

MDPortMap map1 [ map2 ]

MDPortMap http:80 https:443

Протокол ACME предлагает два метода проверки владения доменом через HTTP: один использующий URL 'http:' (порт 80) и один для 'https:' URL (порт 443). Если ваш сервер недоступен по хотя бы одному из двух, ACME может работать только с настройкой вашего DNS-сервера, см. MDChallengeDns01.

На большинстве публичных серверов 'http:' приходит на порт 80, а 'https:' на порт 443. Модуль проверяет порты, на которых работает ваш Apache сервер, и предполагает, что они доступны. Это означает, что если ваш сервер не работает на порту 80, он предполагает, что запросы 'http:' из интернета не будут работать.

Это предположение, и оно может быть неверным. Например, ваш Apache может работать на порту 80, но ваш брандмауэр может его блокировать. 'http:' доступен только в вашей внутренней сети. Таким образом, модуль ошибочно предположит, что Let's Encrypt может использовать 'http:'-вызовы с вашим сервером. Это затем провалится, потому что ваш брандмауэр будет отбрасывать эти запросы.

MDPortMap http:- https:8433

Приведенный выше пример показывает, как можно указать, что запросы 'http:' из интернета никогда не придут. Кроме того, он указывает, что запросы 'https:' придут на локальный порт 8433.

Это необходимо, если у вас есть переадресация портов, ваш сервер может быть доступен из интернета на порту 443, но локальный порт, который использует httpd, другой. Ваш сервер может работать только на портах 8443 и 8000, но быть доступным по портам 443 и 80 (из интернета).

Направление MDPrivateKeys

MDPrivateKeys type [ params... ]

MDPrivateKeys RSA 2048

Определяет тип генерируемых закрытых ключей для управляемого домена и параметры. Можно настроить несколько типов закрытых ключей, и модуль получит сертификат для каждого ключа.

Например, можно настроить ключи RSA и Эллиптической кривой (EC), чтобы для домена были созданы 2 сертификата. При подключении клиента будет использован первый поддерживаемый клиентом тип ключа.

Поскольку ключи EC и сертификаты меньше, их можно предлагать в первую очередь для всех совместимых (современных) клиентов. Это может ускорить установление соединения. Добавьте тип ключа RSA для поддержки более старых клиентов.

MDPrivateKeys secp256r1 rsa3072

Поддерживаемые типы EC зависят от используемого CA. Для Let's Encrypt поддерживаемые кривые включают 'secp256r1' и 'secp384r1'.

Каждый тип ключа и сертификата хранится в отдельном файле в хранилище MD. Тип ключа является частью имени файла с некоторыми обратной совместимыми именами для сертификатов RSA. Таким образом, вы можете продолжать обмениваться этими файлами с другими приложениями.

Обратите внимание, что это настройка влияет только на новые ключи. Любой существующий закрытый ключ остается без изменений. Кроме того, это влияет только на закрытые ключи, сгенерированные для сертификатов. Ключи учетных записей ACME не затрагиваются.

Направление MDRenewMode

MDRenewMode always|auto|manual

MDRenewMode auto

В режиме по умолчанию ('auto'), модуль выполнит действия, которые наиболее логичны для каждого управляемого домена. Для домена без сертификатов он получит их от центра сертификации.

Однако, если вы определили управляемый домен, который не используется ни одним из виртуальных хостов Apache, он не будет предпринимать действий. Для управляемых доменов со статическими файлами сертификатов (см. MDCertificateFile) он предполагает, что у вас есть собственный источник, и не будет их обновлять.

Вы можете переопределить это значение. Если вы укажете 'always', модуль обновит сертификаты для управляемого домена независимо от использования доменов или наличия статических файлов.

Для противоположного эффекта настройте 'manual', и попытка обновления не будет выполнена.

Направление MDRenewWindow

MDRenewWindow duration

MDRenewWindow 33%

Если срок действия сертификата опустится ниже заданного значения, mod_md получит новый подписанный сертификат.

Обычно сертификаты действительны около 90 дней, и mod_md обновит их за 33% до окончания срока действия (например, для 90-дневного сертификата - за 30 дней до истечения срока действия). Если вы считаете, что это не то, что вам нужно, вы можете указать точное время, как в примере:

# 21 days before expiry
MDRenewWindow 21d 
# 30 seconds (might be close)
MDRenewWindow 30s
# 10% of the cert lifetime
MDRenewWindow 10%

В режиме автоматического обновления модуль проверяет состояние управляемых доменов каждые 12 часов и, при необходимости, выполняет действия. При ошибках (например, недоступность CA) он первоначально повторно пытается подключиться через несколько секунд. Если попытки будут неудачными, интервал проверок будет увеличен до 1 часа.

Направление MDRequireHttps

MDRequireHttps off|temporary|permanent

MDRequireHttps off

Это удобное направление для упрощения миграции управляемых доменов с http: на https:. С помощью:

MDRequireHttps temporary

вы объявляете о желании перенаправлять весь трафик по http: URL на https: URL на текущий момент. Это безопасно, и вы можете удалить это направление в любое время.

Следующее имеет последствия: если вы хотите, чтобы клиенты больше не использовали http: URL, настройте:

MDRequireHttps permanent

Это делает два вещи:

1. Все запросы к ресурсам http: перенаправляются на тот же URL с использованием схемы https: и кодом состояния 301. Это сообщает клиентам, что это постоянное изменение, и они должны соответствующим образом обновить все ссылки.
2. Все ответы на запросы https: будут содержать заголовок Strict-Transport-Security с сроком действия полгода. Это сообщает браузеру, что он никогда (в течение полугода) не должен использовать http: при работе с этим доменным именем. После этого браузеры откажутся от связи с вашим незашифрованным сайтом. Это предотвращает злоумышленным программам-посредникам от понижения уровня шифрования соединения и перехвата/манипулирования трафиком. Что хорошо. Но вы не можете просто отменить это изменение.

Вы можете добиться того же с помощью mod_alias и некоторых настроек Redirect, по сути. Если вы делаете это самостоятельно, убедитесь, что исключаете пути /.well-known/* из перенаправления, иначе mod_md может столкнуться с проблемами при подписи новых сертификатов.

Если вы устанавливаете это значение глобально, оно применяется ко всем управляемым доменам. Если вам нужно только для определенного домена, используйте:

<MDomain xxx.yyy>
  MDRequireHttps temporary
</MDomain>

Направление MDServerStatus

MDServerStatus on|off

MDServerStatus on

Обработчик Apache 'server-status' позволяет настроить ресурс для мониторинга происходящего. Теперь он включает раздел со списком всех управляемых доменов с DNS-именами, статусом обновления, сроками действия и основными свойствами.

Вы можете отключить его с помощью этого направления.

Направление MDStapleOthers

MDStapleOthers on|off

MDStapleOthers on

Это значение имеет эффект только при включенном MDStapling. Оно управляет тем, должен ли mod_md также предоставлять информацию о стаплинге для сертификатов, которые не управляются им напрямую, например, обновленных через ACME CA.

Направление MDStapling

MDStapling on|off

MDStapling off

mod_md предлагает реализацию для предоставления информации о OCSP stapling. Это альтернатива, предоставляемой mod_ssl. Для обеспечения обратной совместимости, она отключена по умолчанию.

Стаплинга можно включить для всех сертификатов на сервере или для отдельного MDomain. Это заменит любую конфигурацию стаплинга в mod_ssl для этих хостов. Когда отключено, работа будет выполняться стаплингом mod_ssl (если он сам включен, конечно). Это позволяет постепенный переход от одной реализации к другой.

Стаплинга mod_md также будет работать для доменов, где сертификаты не управляются этим модулем (см. MDStapleOthers для управления этим). Это позволяет использовать новый стаплинга без использования управления сертификатами ACME.

Направление MDStaplingKeepResponse

MDStaplingKeepResponse duration

MDStaplingKeepResponse 7d

Этот временной интервал задаёт, когда данные ответов OCSP, используемые в стаплинге, должны быть удалены из хранилища. Данные ответов, старше 7 дней (по умолчанию), удаляются при перезапуске/перезагрузке сервера. Это предотвращает рост хранилища при частых обновлениях/переконфигурациях сертификатов.

Директива MDStaplingRenewWindow

MDStaplingRenewWindow duration

MDStaplingRenewWindow 33%

Если срок действия ответа OCSP, используемого для стапля, падает ниже duration, mod_md получит новый ответ OCSP.

Сертификационный центр, выдающий сертификат, обычно также управляет службой ответа OCSP и определяет, как долго его подписанные ответы о валидности сертификата остаются действительными. Чем дольше срок действия ответа, тем дольше его можно кэшировать, что приводит к лучшей общей производительности для всех. Чем короче срок действия, тем быстрее сведения о выводе сертификатов распространяются среди клиентов. Кроме того, учитывается надежность службы.

Регулируя окно обновления стапля, вы можете контролировать части этого самостоятельно. Если вы уменьшите время обновления (например, за короткий промежуток времени до истечения текущей информации), вы получите максимальное время кэширования. Но выход из строя службы (например, на техническое обслуживание) повлияет на вас. Если вы обновите за долгое время до истечения срока действия, обновления будут выполняться чаще, что создаст большую нагрузку на инфраструктуру сервера CA, а также большую координацию между дочерними процессами вашего сервера.

По умолчанию выбрано значение 33%, что означает, что обновление запускается, когда остается только треть срока действия ответа. Для CA, которая выдает ответы OCSP со сроком действия 3 дня, это означает 2 дня кэширования и 1 день для попыток обновления. Выход из строя службы должен длиться полные 24 часа, чтобы повлиять на ваши домены.

Также возможно установить абсолютное окно обновления, например, `2d` (2 дня).

Директива MDStoreDir

MDStoreDir path

MDStoreDir md

Определяет, где на локальной файловой системе хранятся данные управляемого домена. Это абсолютный путь или интерпретируется относительно корня сервера. По умолчанию будет создана директория 'md' в корне вашего сервера.

Если вы перемещаете этот путь и у вас уже есть данные, обязательно сначала переместите/скопируйте данные в новое место, переконфигурируйте и перезапустите сервер. Если вы переконфигурируете и перезапустите сервер в первую очередь, сервер попытается получить новые сертификаты, которые, как он считает, отсутствуют.

Директива MDWarnWindow

MDWarnWindow duration

MDWarnWindow 10%

См. MDRenewWindow для описания способов указания времени.

Модуль проверяет оставшийся срок действия сертификатов и вызывает MDMessageCmd , когда осталось меньше, чем окно предупреждения. По умолчанию это означает 9 дней для сертификатов от Let's Encrypt.

Это также относится к управляемым доменам со статическими файлами сертификатов (см. MDCertificateFile).