Astuce Certbot : Restreindre les domaines couverts par un certificat
Nous avons récemment vu comment étendre les domaines couverts par un certificat. Aujourd'hui, nous allons voir comment faire l'inverse. Le but est de conserver le certificat existant, mais de retirer des domaines qui ne sont plus actifs.
La première chose est de regarder sous quel nom est enregistré le certificat. Le plus simple est de faire un renouvellement :
certbot renew
La réponse devrait être proche de
Saving debug log to /var/log/letsencrypt/letsencrypt.log
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Processing /etc/letsencrypt/renewal/www.skymac.org.conf
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Cert not yet due for renewal
Ici, le domaine principal est donc www.skymac.org.
Maintenant, je peux demander à certbot d'appliquer une nouvelle liste de domaine à ce certificat.
certbot certonly --cert-name www.skymac.org -d "www.skymac.org,skymac.org"
La réponse n'est pas immédiate mais réclame notre attention
Saving debug log to /var/log/letsencrypt/letsencrypt.log
How would you like to authenticate with the ACME CA?
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
1: Apache Web Server plugin (apache)
2: Spin up a temporary webserver (standalone)
3: Place files in webroot directory (webroot)
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Select the appropriate number [1-3] then [enter] (press 'c' to cancel):
Dans mon cas, je choisi le serveur Apache, donc la réponse 1. Si vous utilisez nginx, il devrait apparaitre dans la liste.
Puis cela continue.
Plugins selected: Authenticator apache, Installer None
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
You are updating certificate www.skymac.org to include new domain(s):
(None)
You are also removing previously included domain(s):
- test.skymac.org
Did you intend to make this change?
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(U)pdate cert/(C)ancel:
Ici la réponse à donner, si tout nous convient, est de continuer la mise à jour du certificat. Si vous voyez la moindre irrégularité, n'hésitez pas à annuler, pour modifier votre commande.
La réponse finale est simplement
Renewing an existing certificate
Et le tour est joué.
