Installer un certificat SSL wildcard Let's Encrypt dans Hestia CP

Hestia CP est un panneau de contrôle d'hébergement permettant de gérer des sites web, des e-mails, des bases de données, des certificats SSL, des fichiers et des tâches planifiées.

Let's Encrypt Wildcard SSL sécurise à la fois le domaine racine et tous ses sous-domaines (*.example.com) avec un seul certificat — utile lorsque vous avez de nombreux sous-domaines.

Ce guide s'applique à HestiaCP sur Ubuntu et Debian. Pour CentOS, utilisez yum à la place de apt-get.

Étape 1. Installer acme.sh

cd /root
sudo apt-get update
sudo apt-get install socat git -y
git clone https://github.com/acmesh-official/acme.sh.git
cd ./acme.sh
./acme.sh --install

Après l'installation, acme.sh ajoute automatiquement une tâche cron pour le renouvellement des certificats. Vérifiez qu'elle est bien présente :

crontab -l

Étape 2. Définir Let's Encrypt comme autorité de certification

./acme.sh --set-default-ca --server letsencrypt

Étape 3. Émettre le certificat wildcard

./acme.sh --issue -d example.com -d *.example.com --dns --force --yes-I-know-dns-manual-mode-enough-go-ahead-please

Remplacez example.com par votre domaine.

Le script affichera deux enregistrements TXT à ajouter au DNS de votre domaine. Assurez-vous que le nom de chaque enregistrement se termine par un point.

Exemple :

_acme-challenge.example.com.    TXT    "GCgAc4Q1Ur4Iv5A-SFhaZ6as-IyuIbfcm7FnUOq3Qxs"
_acme-challenge.example.com.    TXT    "dA6AcK4oR2VOIuD_i7zdNn6RZXXBJORpZWlhDOmk96A"

Étape 4. Vérifier la propagation DNS

dig txt +short _acme-challenge.example.com

Attendez que les deux enregistrements TXT apparaissent dans la sortie avant de continuer.

Étape 5. Finaliser l'émission du certificat

./acme.sh --renew -d example.com -d *.example.com --dns --force --yes-I-know-dns-manual-mode-enough-go-ahead-please

Les certificats seront enregistrés dans :

/root/.acme.sh/example.com_ecc/

Étape 6. Ajouter le certificat à Hestia CP

Renommer les fichiers de certificat :

cd /root/.acme.sh/example.com_ecc/
mv ca.cer example.com.ca
mv fullchain.cer example.com.crt

Ajouter le certificat au domaine (remplacez user par le nom d'utilisateur HestiaCP) :

v-add-web-domain-ssl user example.com /root/.acme.sh/example.com_ecc/

Si un certificat était déjà installé pour ce domaine, utilisez plutôt la commande de mise à jour :

v-update-web-domain-ssl user example.com /root/.acme.sh/example.com_ecc/

Renouvellement automatique

acme.sh configure automatiquement une tâche cron. Pour plus de fiabilité, vous pouvez également ajouter manuellement une vérification quotidienne :

0 3 * * * "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" > /dev/null 2>&1