Certificado SSL para IP
Um comando para obter um certificado HTTPS gratuito e confiável da Let's Encrypt para o IP do seu servidor, sem domínio; instalado e renovado automaticamente.
Execute como root no seu servidor
bash <(curl -sL ipk.me/ssl) -l pt 216.73.217.175 -l pt | Idioma do relatório (o desta página) |
-4 / -6 | Somente IPv4 ou IPv6 |
-w /var/www/html | Validar pelo diretório raiz do seu servidor web em vez de um servidor temporário na porta 80 |
-r "systemctl reload nginx" | Comando após cada renovação (padrão: recarregar nginx / Apache / Caddy se estiver rodando) |
-d /etc/ssl/ipk | Onde instalar os arquivos do certificado |
-y | Não perguntar antes de parar o servidor web da porta 80 |
--alpn | Validar pela porta 443 (TLS-ALPN-01) em vez da porta 80 |
--staging | Usar o ambiente de testes da Let's Encrypt (certificado não confiável, para experimentar) |
203.0.113.10 2001:db8::10 | Endereços IP a incluir. Sem eles, usa-se o IPv4 / IPv6 de saída do servidor; se houver mais IPs públicos, você escolhe quais incluir |
Como funciona
- Um cliente ACME leve embutido (só bash, openssl e curl; python3 para o servidor de validação temporário) solicita o certificado com o perfil de curta duração da Let's Encrypt: certificados de IP valem cerca de 6 dias e são renovados a cada 3 dias.
- A validação usa a porta 80 (HTTP-01), então a porta 80 do IP precisa ser acessível pela internet; antes de emitir, o ipk.me verifica isso de fora.
- Porta 80 bloqueada? A porta 443 também funciona (TLS-ALPN-01): adicione --alpn; ela também é escolhida automaticamente quando só a 443 está acessível. Certificados de IP não podem ser validados por DNS.
- Após a emissão, mostra os caminhos do certificado e da chave e a validade; uma cópia do script fica em /etc/ssl/ipk e uma tarefa diária de renovação é adicionada ao crontab.
- Se nginx, Apache ou Caddy estiver usando a porta 80 / 443, ele é parado por alguns segundos durante a emissão e a renovação; use -w para evitar.
- IPv4 e IPv6 vão em um único certificado. Endereços privados e CGNAT não podem obter. Na China continental, provedores de nuvem costumam bloquear a porta 80 em servidores sem registro ICP.
- Funciona no Linux. Só seus endereços IP são enviados ao ipk.me; a chave privada nunca sai do seu servidor.