Letsencrypt

2019.10.23 本篇教學以 Traefik 1.7 版本為主

之前寫過蠻多篇 Let’s Encrypt 的使用教學，但是這次要跟大家介紹一套非常好用的工具 Traefik 搭配自動化更新 Let’s Encrypt 憑證，為什麼會推薦 Traefik 呢，原因在於 Traefik 可以自動偵測 Docker 容器內的 Label 設定，並且套用設定在 Traefik 服務內，也就是只要修改服務的 docker-compose 內容，重新啟動，Traefik 就可以抓到新的設定。這點在其它工具像是 Nginx 或 Caddy 是無法做到的。底下我們來一步一步教大家如何設定啟用前後端服務。全部程式碼都放在 GitHub 上面了。

2018 年 3 月 Let’s Encrypt 官方正式公告支援 Wildcard Certificate 憑證，有在玩多個 subdomain 有福了，未來只要申請一張 *.example.com 就全部通用啦，當然很高興 Caddy 也跟進了，在 v11.0 正式支援多種 DNS Provider，只要申請 DNS 提供商的 API Key 或 Secret 設定在啟動 Caddy 步驟內就可以了。底下用 Godaddy 舉例。

Let’s Encrypt 宣布在 2018 年一月全面支援 Wildcard Certificates，目的就是讓全世界網站都支援 HTTPS 協定。自從 2015 年 12 月宣布免費支援申請 HTTPS 憑證，從原本的 40% 跳升到 58%，Let’s Encrypt 到現在總共支援了 47 million 網域。

寫這篇最主要推廣讓網站都支援 HTTPS 加密連線及 HTTP2 協定，對於網站為什麼要支援 HTTP2，可以直接參考 ihower 寫的說明文章，最近在玩 Facebook, Line, Telegram Bot 時，填寫 Webhook URL，都強制要填寫 https:// 開頭，所以更不能忽略 HTTPS 了。，去年底寫了一篇 Let’s Encrypt 開放申請免費 SSL 憑證 推廣 Let’s Encrypt 的貢獻，讓買不起憑證，又想玩看看 HTTP2 的開發者可以用很簡單的方式來安裝及自動更新憑證，而 gslin 大為了推廣 HTTPS 也做了一個網站教學，文章寫得相當清楚，支援 Apache 及 Nginx 設定。

自從 2015/12 Letsencrypt 開放免費申請 SSL 憑證的消息，馬上有人開發出網站，讓不會使用 Letsencrypt 指令的網站管理者免費申請憑證，此網站透過開發者提過 FTP 帳號密碼或下載檔案放到 Web 根目錄就可以執行認證成功，完成後會給你 SSL Certificate，這邊有些問題，就是 Private key 也一起給你了，所以用這網站請務必小心，雖然該作者說明，網站不會存下任何憑證資料，但是你相信他嗎？Letsencrypt 討論區有一篇討論關於此網站的做法，引起很大的爭議。底下是該網站提供兩種認證方式

繼上篇介紹 Letsencrypt 開放申請免費 SSL 憑證，就把我的 Blog 強制使用 https 連線，Wordpress 強制使用 SSL 連線有幾個步驟需要注意，底下會是搭配 Nginx 相關設定，建議如果有裝任何 Plugin，都先進去後台暫時關閉。Nginx 1.9.5 之後有把 http2 模組加入，所以本篇會是以設定 http2 為主，當然跟 spdy 設定一樣，只是換個名字而已。

很高興在今年 12/03 Letsencrypt 宣布進入 public beta 階段，開放免費 SSL 提供給開發者或正式網站使用，在這之前屬於封測階段，必須透過申請的方式才可以拿到 SSL 憑證。在知道 Letsencrypt 之前，我都是使用免費的 StartSSL，這家申請的分式比較複雜，你可以在網路上找到許多申請教學，但是就是按部就班操作，就可以拿到一年份的 SSL 憑證，也就是一年申請一次啦，但是 Letsencrypt 申請的方式可以直接透過 command line 快速產生相對應的憑證，支援的 Plugin 也非常多 (像是 Apache, Nginx)，詳細的操作方式可以參考線上文件。這邊就不多說了，只要安裝好 Letsencrypt 指令，就可以無痛拿到各網站憑證，在 Github 上面你可以找到許多別人寫好的 Plugin，隨便挑一個來使用吧。