Instalar el certificado SSL wildcard de Let's Encrypt en Hestia CP

Hestia CP es un panel de control de alojamiento para gestionar sitios web, correo electrónico, bases de datos, certificados SSL, archivos y tareas programadas.

Let's Encrypt Wildcard SSL protege tanto el dominio raíz como todos sus subdominios (*.example.com) con un único certificado — muy útil cuando tienes muchos subdominios.

Esta guía es aplicable a HestiaCP en Ubuntu y Debian. Para CentOS, usa yum en lugar de apt-get.

Paso 1. Instalar acme.sh

cd /root
sudo apt-get update
sudo apt-get install socat git -y
git clone https://github.com/acmesh-official/acme.sh.git
cd ./acme.sh
./acme.sh --install

Tras la instalación, acme.sh añade automáticamente una tarea cron para la renovación de certificados. Comprueba que esté presente:

crontab -l

Paso 2. Establecer Let's Encrypt como autoridad de certificación

./acme.sh --set-default-ca --server letsencrypt

Paso 3. Emitir el certificado wildcard

./acme.sh --issue -d example.com -d *.example.com --dns --force --yes-I-know-dns-manual-mode-enough-go-ahead-please

Reemplaza example.com por tu dominio.

El script mostrará dos registros TXT que deberás añadir al DNS de tu dominio. Asegúrate de que el nombre de cada registro termine con un punto.

Ejemplo:

_acme-challenge.example.com.    TXT    "GCgAc4Q1Ur4Iv5A-SFhaZ6as-IyuIbfcm7FnUOq3Qxs"
_acme-challenge.example.com.    TXT    "dA6AcK4oR2VOIuD_i7zdNn6RZXXBJORpZWlhDOmk96A"

Paso 4. Verificar la propagación DNS

dig txt +short _acme-challenge.example.com

Espera a que ambos registros TXT aparezcan en la salida antes de continuar.

Paso 5. Completar la emisión del certificado

./acme.sh --renew -d example.com -d *.example.com --dns --force --yes-I-know-dns-manual-mode-enough-go-ahead-please

Los certificados se guardarán en:

/root/.acme.sh/example.com_ecc/

Paso 6. Añadir el certificado a Hestia CP

Renombrar los archivos del certificado:

cd /root/.acme.sh/example.com_ecc/
mv ca.cer example.com.ca
mv fullchain.cer example.com.crt

Añadir el certificado al dominio (reemplaza user por el nombre de usuario de HestiaCP):

v-add-web-domain-ssl user example.com /root/.acme.sh/example.com_ecc/

Si ya había un certificado instalado para este dominio, usa el comando de actualización en su lugar:

v-update-web-domain-ssl user example.com /root/.acme.sh/example.com_ecc/

Renovación automática

acme.sh configura una tarea cron de forma automática. Para mayor fiabilidad, también puedes añadir manualmente una comprobación diaria:

0 3 * * * "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" > /dev/null 2>&1