IdenTrustのルート証明書でLet's Encryptの証明書が更新されるようにcertbotを設定

2020/9/18 00:54

cron に設定している Certbot の SSL 証明書更新コマンドに --preferred-chain オプションをつけて、いくつかのサイトで2021年9月29日までは IdenTrust のルート証明書のチェーンのまま証明書が更新されるようにしました。

こちらにあるように --preferred-chain オプションは certbot のバージョン 1.6.0 以降でないと使えないので、まずは最新版にバージョンアップしておきましょう。

あとは例えば /etc/crontab に certbot renew を実行するコマンドを設定しているのなら、

certbot renew --preferred-chain "DST Root CA X3"

のようにオプション指定を追加するだけ（なはず）。このオプションで正しく動作するのか9月29日以降でないと確認できないので様子見です。

2020年9月29日以降に Let’s Encrypt が発行する SSL 証明書のルート証明書が現在の IdenTrust から ISRG に切り替わり、一部の古い端末でサイトにアクセスできなくなるという問題への対処です。（記事末に追記あり）

上記サイトでは Android 7.1 以前となっていましたが、

こちらでは Andorid 8.0 以下で警告画面が出るようになると書かれています。ちなみに上記リンク先にもあるように Windows や Mac、 iOS の一部のかなり古いバージョンでも同様に警告が出たりサイトが閲覧できなくなったりするようです。

【追記: 2020-09-23】 ISRG へのルート証明書の切り替えは20201年1月11日開始に延期されたそうです。 https://letsencrypt.org/2019/04/15/transitioning-to-isrg-root

Webエンジニアやってます。最近はドットインストールの開発がお仕事です。その傍ら、個人で Meity や電車遅延なう、梅酒.in、 #グラドル自画撮り部の部室といったネットサービスを開発・運営してます。梅酒と草野球とリアル脱出ゲームが好きです。