Как получить сертификат Let’s Encrypt через DNS для другого сервера

Пошаговая инструкция

Шаг 1. Удалите файл блокировки (если есть)

sudo rm -f /var/log/letsencrypt/.certbot.lock

Шаг 2. Запустите certbot с sudo

sudo certbot certonly --manual --preferred-challenges dns -d example.com -d www.example.com --staging

--staging можно оставить для тестирования (лимиты мягче);

После успешного теста уберите --staging для реального сертификата.

Если хотите выпустить реальный сертификат, сначала удалите тестовый:

sudo certbot delete --cert-name example.com

Подтвердите удаление, когда certbot запросит подтверждение.

Шаг 3. Получите TXT‑записи от certbot

После запуска certbot выведет два значения:

• для _acme-challenge.example.com;
• для _acme-challenge.www.example.com.

Скопируйте оба значения.

Шаг 4. Добавьте TXT‑записи в DNS

В панели управления DNS создайте две TXT‑записи:

TTL: 3600 секунд. Сохраните записи.

Шаг 5. Проверьте распространение DNS

Дождитесь, пока записи распространятся:

dig TXT _acme-challenge.example.com +short

dig TXT _acme-challenge.www.example.com +short

Обе команды должны вывести соответствующие значения TXT‑записей. Если нет — подождите 5–10 минут и проверьте снова.

Иногда dig долго показывает старое значение. Тогда проверьте через разные DNS‑серверы. Это поможет определить, проблема локальная или глобальная:

# Через Google DNS

dig TXT _acme-challenge.example.com @8.8.8.8 +short

dig TXT _acme-challenge.www.example.com @8.8.8.8 +short

# Через Cloudflare DNS

dig TXT _acme-challenge.example.com @1.1.1.1 +short

dig TXT _acme-challenge.www.example.com @1.1.1.1 +short

Если на публичных DNS запись есть, а локально — нет, проблема в кэше. Обычно можно игнорировать и сразу продолжить процедуру.

Шаг 6. Завершите выпуск сертификата

После того как dig покажет обе записи, вернитесь в терминал с certbot и нажмите Enter (не Ctrl+C!). certbot проверит валидацию и выдаст сертификат.

Шаг 7. Проверьте результат

Убедитесь, что сертификат создан и содержит оба домена:

openssl x509 -in /etc/letsencrypt/live/example.com/fullchain.pem -text -noout | grep DNS

В выводе должны быть:

• DNS:example.com;
• DNS:www.example.com.

Что будет после успешного выпуска

В Let’s Encrypt структура следующая:

• /etc/letsencrypt/live/example.com/ — симлинки на актуальные файлы (не копируйте на другой сервер только их);
• /etc/letsencrypt/archive/example.com/ — реальные файлы текущей и предыдущих версий сертификатов.

Содержимое /etc/letsencrypt/archive/example.com/:

• cert1.pem, cert2.pem и т. д. — сертификаты;
• privkey1.pem, privkey2.pem — приватные ключи;
• chain1.pem, chain2.pem — цепочки сертификатов;
• fullchain1.pem, fullchain2.pem — сертификат + цепочка.

Симлинки в /live/ всегда указывают на последние версии (например, fullchain.pem → ../archive/example.com/fullchain2.pem).

Файл конфигурации /etc/letsencrypt/renewal/example.com.conf — для автоматического продления.

Записи в логах /var/log/letsencrypt/letsencrypt.log — для диагностики.

Важные предупреждения

• Не запускайте certbot без sudo для стандартных операций — это почти всегда приводит к ошибкам прав доступа.
• Не изменяйте права на системные директории (/var/log/letsencrypt/, /etc/letsencrypt/) — это снижает безопасность.
• Не прерывайте certbot через Ctrl+C во время работы — это может оставить систему в нестабильном состоянии.
• Храните приватный ключ (privkey.pem) в секрете — не передавайте его по незащищённым каналам.

Проверка после успешного выпуска

1. Проверьте файлы сертификата:

ls -la /etc/letsencrypt/live/example.com/

Должны быть fullchain.pem и privkey.pem.

2. Проверьте содержимое сертификата:

openssl x509 -in /etc/letsencrypt/live/example.com/fullchain.pem -text -noout | grep DNS

Убедитесь, что перечислены оба домена.

3. Проверьте конфигурацию автоматического продления:

certbot certificates

Должен отображаться ваш сертификат с датой истечения. (На самом деле при ручном выпуске через DNS с продлением все непросто - это отдельная история. На этом этапе никакого автоматического продления нет!)

Краткий план действий