Installer un certificat SSL avec ACME et acme.sh

Installer acme.sh

Le script installe acme.sh dans /root/.acme.sh, ajoute l’alias acme.sh et une tâche cron de renouvellement. La dernière commande affiche la version installée.

curl https://get.acme.sh | sh -s email=admin@mondomaine.tld
source ~/.bashrc
acme.sh --version

Voir un exemple de résultat

Faire le point sur l’installation existante

Mettez acme.sh à jour et listez les certificats qu’il gère déjà. Ils ne sont pas modifiés par la suite du tutoriel.

acme.sh --upgrade
acme.sh --list

Chaque commande HTTPCS a son propre compte ACME, alors qu’acme.sh ne garde qu’un compte par URL de serveur. Vérifiez si un compte existe déjà pour l’URL de ce certificat :

ls /root/.acme.sh/ca/URL_DU_SERVEUR/account.key

No such file or directory : aucun compte, gardez la configuration commune. Le fichier account.key s’affiche : un autre certificat utilise déjà cette URL, choisissez la configuration séparée, sinon acme.sh réutiliserait l’ancien compte et le serveur ACME refuserait ce domaine.

grep -o '^SAVED_[A-Za-z_]*' /root/.acme.sh/account.conf

Enregistrer le compte ACME

Cette commande relie acme.sh à votre compte ACME HTTPCS grâce aux identifiants EAB (External Account Binding). Elle ne s’exécute qu’une fois par serveur.

Cette étape reste nécessaire avec un acme.sh déjà installé : les identifiants EAB sont propres à cette commande HTTPCS.

Configuration séparée : --config-home range ce certificat dans son propre dossier (compte ACME, identifiants DNS, configuration de renouvellement). Gardez cette option dans toutes les commandes suivantes, elle y est déjà ajoutée.

mkdir -p /root/.acme.sh-httpcs-mondomaine.tld && touch /root/.acme.sh-httpcs-mondomaine.tld/account.conf
acme.sh --register-account \
  --config-home /root/.acme.sh-httpcs-mondomaine.tld \
  --server URL_DU_SERVEUR \
  --eab-kid VOTRE_KID \
  --eab-hmac-key VOTRE_HMAC \
  -m admin@mondomaine.tld

Résultat attendu : Registered puis ACCOUNT_THUMBPRINT=….

Tester le dossier du site

Pour prouver le contrôle du domaine, acme.sh dépose un fichier dans le dossier .well-known/acme-challenge du site. Ce test reproduit l’opération avant la vraie demande. Pour un multi-domaines, répétez la ligne curl avec chaque domaine.

mkdir -p /var/www/html/.well-known/acme-challenge
echo ok > /var/www/html/.well-known/acme-challenge/httpcs-test
curl -i http://mondomaine.tld/.well-known/acme-challenge/httpcs-test
rm /var/www/html/.well-known/acme-challenge/httpcs-test

Résultat attendu : HTTP/1.1 200 OK, puis ok à la fin de la réponse.

Fournir l’accès à l’API DNS

acme.sh crée lui-même l’enregistrement TXT de validation grâce à l’API de votre hébergeur DNS. Exportez les identifiants dans la session : acme.sh les enregistre dans /root/.acme.sh/account.conf lors de la première demande et les réutilise à chaque renouvellement. Limitez si possible le jeton à la modification de cette zone.

acme.sh déjà installé : si ces variables figurent déjà dans la liste de l’étape « Faire le point » pour le même compte, inutile de les réexporter, acme.sh les relit. Les identifiants enregistrés pour un autre hébergeur restent intacts.

export CF_Token="A_RENSEIGNER"
export CF_Zone_ID="A_RENSEIGNER"

export OVH_END_POINT="A_RENSEIGNER"
export OVH_AK="A_RENSEIGNER"
export OVH_AS="A_RENSEIGNER"
export OVH_CK="A_RENSEIGNER"

export GANDI_LIVEDNS_TOKEN="A_RENSEIGNER"

export INFOMANIAK_API_TOKEN="A_RENSEIGNER"

export IONOS_PREFIX="A_RENSEIGNER"
export IONOS_SECRET="A_RENSEIGNER"

export SCALEWAY_API_TOKEN="A_RENSEIGNER"

export AWS_ACCESS_KEY_ID="A_RENSEIGNER"
export AWS_SECRET_ACCESS_KEY="A_RENSEIGNER"

Exportez les variables indiquées pour votre hébergeur dans la documentation acme.sh, sous la forme export NOM="valeur".

Vérifiez que la zone est bien gérée par cet hébergeur : les serveurs de noms affichés doivent lui appartenir.

dig +short NS mondomaine.tld

Obtenir le certificat

acme.sh demande le certificat au serveur ACME HTTPCS, réalise la validation choisie puis télécharge le certificat dans /root/.acme.sh/.

Gardez les guillemets simples autour de '*.mondomaine.tld' : sans eux, le shell remplace * par les fichiers du dossier courant.

acme.sh --issue \
  --config-home /root/.acme.sh-httpcs-mondomaine.tld \
  --server URL_DU_SERVEUR \
  -d mondomaine.tld \
  -w /var/www/html

acme.sh --issue \
  --config-home /root/.acme.sh-httpcs-mondomaine.tld \
  --server URL_DU_SERVEUR \
  -d mondomaine.tld \
  --dns dns_xxx

acme.sh --issue \
  --config-home /root/.acme.sh-httpcs-mondomaine.tld \
  --server URL_DU_SERVEUR \
  -d mondomaine.tld \
  --dns \
  --yes-I-know-dns-manual-mode-enough-go-ahead-please

Résultat attendu : Cert success., suivi des chemins du certificat et de la clé.

Résultat attendu : acme.sh s’arrête volontairement et affiche pour chaque nom une ligne Domain: '_acme-challenge.mondomaine.tld' et une ligne TXT value: '…'. Gardez ces valeurs pour l’étape suivante.

Certificat Organisation : le domaine a déjà été contrôlé pendant la validation de l’organisation. acme.sh peut alors afficher Already verified, skip et passer directement à l’émission. C’est normal.

Ajouter les enregistrements TXT

Dans l’interface de votre hébergeur DNS, créez un enregistrement de type TXT pour chaque valeur affichée par acme.sh, sur le nom _acme-challenge. La plupart des interfaces ajoutent le domaine automatiquement : saisissez alors seulement _acme-challenge, pas le nom complet.

Wildcard : acme.sh affiche deux valeurs pour le même nom _acme-challenge.mondomaine.tld, une pour le domaine nu et une pour *.mondomaine.tld. Créez deux enregistrements TXT distincts ; ne remplacez pas le premier par le second.

Attendez la propagation, puis vérifiez que toutes les valeurs sont visibles :

dig +short TXT _acme-challenge.mondomaine.tld @1.1.1.1

Quand toutes les valeurs apparaissent, finalisez la demande :

acme.sh --renew \
  --config-home /root/.acme.sh-httpcs-mondomaine.tld \
  -d mondomaine.tld \
  --yes-I-know-dns-manual-mode-enough-go-ahead-please

Le mode DNS manuel ne se renouvelle pas tout seul. Les certificats ACME ont une durée courte, de quelques mois : vous devrez refaire ces étapes avant chaque échéance (date notAfter du certificat). Pour automatiser, passez au DNS automatique dès que possible.

Installer le certificat

Copiez la clé et le certificat complet (fullchain) dans /etc/ssl. acme.sh mémorise ces chemins et la commande de rechargement, et les réutilise à chaque renouvellement. Ne pointez jamais le serveur web directement vers les fichiers de /root/.acme.sh/.

acme.sh --install-cert -d mondomaine.tld \
  --config-home /root/.acme.sh-httpcs-mondomaine.tld \
  --key-file /etc/ssl/private/mondomaine.tld-acme.key \
  --fullchain-file /etc/ssl/certs/mondomaine.tld-acme.crt \
  --reloadcmd "COMMANDE_DE_RECHARGEMENT"

Vérifiez la présence des deux fichiers :

ls -l /etc/ssl/private/mondomaine.tld-acme.key /etc/ssl/certs/mondomaine.tld-acme.crt

Vérifiez qu’acme.sh a mémorisé cette installation. Sans ces paramètres, un renouvellement ne recopierait pas les fichiers et ne rechargerait pas le serveur web.

grep -o '^Le_\(RealKeyPath\|RealFullChainPath\|ReloadCmd\)' /root/.acme.sh/mondomaine.tld_ecc/mondomaine.tld.conf

Résultat attendu : Le_RealKeyPath, Le_RealFullChainPath et Le_ReloadCmd.

Voir un exemple de résultat

Configurer le serveur web

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name mondomaine.tld;

    ssl_certificate     /etc/ssl/certs/mondomaine.tld-acme.crt;
    ssl_certificate_key /etc/ssl/private/mondomaine.tld-acme.key;

    # reste de votre configuration existante
}

nginx -t && systemctl reload nginx

<VirtualHost *:443>
    ServerName mondomaine.tld
    ServerAlias *.mondomaine.tld

    SSLEngine on
    SSLCertificateFile    /etc/ssl/certs/mondomaine.tld-acme.crt
    SSLCertificateKeyFile /etc/ssl/private/mondomaine.tld-acme.key

    # reste de votre configuration existante
</VirtualHost>

a2enmod ssl
apachectl configtest && systemctl reload apache2

/etc/ssl/private/mondomaine.tld-acme.key
/etc/ssl/certs/mondomaine.tld-acme.crt

Vérifier le certificat

Interrogez le site comme le ferait un navigateur :

openssl s_client -connect mondomaine.tld:443 -servername mondomaine.tld </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates -ext subjectAltName

Résultat attendu : issuer mentionne Sectigo ou TrustSign, notAfter donne la date d’expiration et la ligne X509v3 Subject Alternative Name liste tous vos domaines.

Wildcard : la liste doit contenir DNS:*.mondomaine.tld et DNS:mondomaine.tld. Pour tester un sous-domaine, remplacez la valeur de -servername par ce sous-domaine.

Ouvrez ensuite le site dans un navigateur et cliquez sur le cadenas : le certificat doit être valide et émis par Sectigo ou TrustSign.

Voir un exemple de résultat

Contrôler le renouvellement automatique

acme.sh vérifie ses certificats chaque jour via cron. Il renouvelle celui-ci avant son expiration, le réinstalle et relance la commande de rechargement, sans action de votre part.

(crontab -l; echo '0 4 * * * "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" --config-home "/root/.acme.sh-httpcs-mondomaine.tld" > /dev/null') | crontab -

DNS manuel : aucun renouvellement automatique. Notez la date de la colonne Renew et refaites les étapes DNS avant cette date, ou passez au DNS automatique.

crontab -l | grep acme.sh
acme.sh --list --config-home /root/.acme.sh-httpcs-mondomaine.tld

Résultat attendu : une ligne cron qui contient acme.sh --cron, et votre domaine dans acme.sh --list avec la date du prochain renouvellement (colonne Renew).

Configuration séparée : deux lignes acme.sh --cron, dont une avec --config-home.

Vérifiez la durée du certificat installé :

openssl x509 -noout -dates -in /etc/ssl/certs/mondomaine.tld-acme.crt

Résultat attendu : notAfter donne la date d’expiration. La date de la colonne Renew de acme.sh --list doit tomber avant : acme.sh renouvelle bien avant l’échéance.

Voir un exemple de résultat