مرور کلی SSL
SSL (که HTTPS، یا “آیکون قفل” هم نامیده می‌شود) اتصال بین بازدیدکننده و وب‌سایت را خصوصی نگه می‌دارد. بدون آن، مرورگرها به کاربران هشدار می‌دهند که دور بمانند. با Managed DNS، SSL روی nsin رایگان و خودکار است — چیزی برای خرید یا نصب نیست.
nsin چطور SSL را مدیریت می‌کند
Section titled “nsin چطور SSL را مدیریت می‌کند”به محض این‌که دامنه‌ی شما روی Managed DNS فعال شد، nsin:
۱. یک certificate صادر می‌کند که آن و hostnameهای proxied آن را پوشش می‌دهد.
۲. قبل از انقضا آن را به‌طور خودکار تمدید می‌کند.
۳. سایت شما را روی https:// سرویس می‌دهد.
وضعیت certificate
Section titled “وضعیت certificate”بخش SSL issuer، تاریخ صدور، انقضا (روزهای باقی‌مانده)، و هر hostnameای که certificate پوشش می‌دهد را نشان می‌دهد.
- شکاف پوشش (Coverage gap) — یک hostname جدید proxied (مثلاً
shop.example.com) باید قبل از این‌که مرورگرها به آن اعتماد کنند روی certificate باشد. nsin آن را به‌طور خودکار اضافه می‌کند؛ تا آن زمان صفحه یک شکاف را علامت می‌زند. شکافی که برطرف نمی‌شود معمولاً یعنی آن hostname در دسترس نیست — بررسی کنید رکورد DNS آن وجود دارد و proxied است. - صدور دستی — خودتان یک certificate تازه فعال کنید. rate limit دارد (certificate authorityها محدود می‌کنند چند بار صدور کنند)، پس nsin نشان می‌دهد کی دوباره می‌توانید امتحان کنید.
SSL خودکار با External DNS
Section titled “SSL خودکار با External DNS”با External DNS، SSL هم خودکار است — همان
رکورد CNAME که دامنه‌ی شما را تأیید می‌کند، certificateای هم که
example.com و *.example.com را پوشش می‌دهد صادر و تمدید می‌کند.
- رکورد را سر جایش نگه دارید. حذف یا تغییر آن یعنی جابه‌جایی: nsin برای یک دوره‌ی ۳ روزه مهلت سرویس می‌دهد (به شما اطلاع داده می‌شود)، سپس آن را غیرفعال می‌کند. برای فعال‌سازی دوباره، آن را برگردانید.
- با رکورد قدیمی‌تر TXT تأیید شده‌اید؟ تا زمانی که CNAME را اضافه کنید، همچنان certificateهای خودتان را آپلود کنید.
- ارائه‌دهنده‌ی شما نام‌های شروع‌شده با underscore را مسدود می‌کند؟ آپلود certificate خودتان همیشه یک گزینه است.
- یک رکورد CAA بدون
letsencrypt.orgمانع صدور می‌شود؛ صفحه‌ی SSL آن را علامت می‌زند.
آوردن certificate خودتان
Section titled “آوردن certificate خودتان”در هر دو حالت اختیاری است؛ در External DNS همچنین گزینه‌ی جایگزین تا زمانی که رکورد تأیید را اضافه کنید.
۱. به بخش SSL دامنه بروید ← Upload certificate. ۲. certificate و private key را، هر دو PEM-encoded، جای‌گذاری کنید. ۳. nsin subject، issuer، انقضا و hostnameهای پوشش‌داده‌شده را نشان می‌دهد. ۴. انتخاب کنید کدام hostnameها را سرویس دهد و تأیید کنید.
یک certificate سفارشی خودش را تمدید نمی‌کند. قبل از انقضا یک نسخه‌ی جدید آپلود کنید، یا رکورد تأیید External DNS را اضافه کنید و بگذارید nsin آن را مدیریت کند.
certificateهای Wildcard
Section titled “certificateهای Wildcard”یک wildcard (*.example.com) هر subdomain در یک سطح را پوشش می‌دهد.
certificate authorityها فقط پس از یک بررسی مبتنی بر DNS آن را صادر
می‌کنند — اگر خودتان صادر می‌کنید،
پلاگین DNS مربوط به acme.sh رکوردهای لازم را از
طریق API key شما ایجاد و حذف می‌کند.
همه را وادار کنید نسخه‌ی امن را استفاده کنند
Section titled “همه را وادار کنید نسخه‌ی امن را استفاده کنند”از قبل انجام شده: هر رکورد proxied روی پورت 80 با HTTP ساده پاسخ می‌دهد و
یک redirect به https:// می‌دهد. چیزی برای روشن کردن نیست، راهی برای
خاموش کردنش هم نیست.
HSTS یک قدم جلوتر می‌رود: مرورگر از HTTP ساده سر باز می‌زند، پس حتی درخواستش هم نمی‌دهد. اول آن بخش را بخوانید — تنها تنظیم اینجاست که قابل بازگشت نیست.
می‌توانید حداقل نسخه‌ی TLS را هم از 1.2 به 1.3 ببرید؛ چیزی زیر 1.2 هرگز پذیرفته نمی‌شود.
سوالات متداول
Section titled “سوالات متداول”باید certificate بخرم؟ نه. هر دو حالت به‌محض تأیید دامنه یکی را خودکار می‌گیرند.
مرورگرم می‌گوید “Not Secure”. بررسی کنید سایت Active است، hostname روی certificate هست (بالا، شکاف‌های پوشش را ببینید)، و صفحه منابعی را روی HTTP ساده بارگذاری نمی‌کند.
آیا certificate من منقضی می‌شود؟ اگر nsin صادر کرده باشد، نه. اگر آپلود کرده باشید، بله — آن با شماست.
بعضی کلاینت‌ها هنوز از certificate آپلودی‌ام شکایت دارند. تقریباً همیشه یک intermediate گم‌شده است. با زنجیره‌ی کامل دوباره آپلود کنید.