xacme: автоматические сертификаты

Обзор

38.1 Поток ACME

Цикл RFC 8555: регистрация счёта в directory ЦС (ключ ES256 + подписи JOSE) → заказ доменов (шаблоны допустимы) → прохождение вызова dns-01 (публикация выданной ЦС TXT-записи в DNS) → finalize с CSR → загрузка цепочки. xacmeClientInit создаёт клиента (разбирает directory, регистрирует или переиспользует счёт); xacmeClientIssue прогоняет весь цикл и возвращает цепочку PEM. Нейтральность к ЦС: пресеты LE / ZeroSSL / Google / Buypass — смена ЦС есть смена URL.

38.2 DNS-провайдеры

dns-01 требует права записи в DNS: интерфейс провайдера — чистая структура (id / Add / Remove / необязательный Propagate); встроен Aliyun (dns_ali, подпись V3); прочие вендоры подключаются заполнением структуры — без регистрации и глобального состояния. Библиотека несёт собственный зонд распространения TXT — UDP-запрос к авторитетному NS подтверждает видимость записи, прежде чем ЦС позовут проверять.

38.3 Выпуск и продление

xacmeclient* pClient;
xstrview tDomain = xrtStrView("example.com");
bool bRenewed;

pClient = ...;  /* xacmeClientInit(движок, PEM ЦС, URL directory, ключ счёта) */
char* sChain = xacmeClientIssueStored(pClient, &tDomain, 1,
    &tDnsProvider, sStoreRoot, 30, &bRenewed);
if ( sChain != NULL && bRenewed ) {
    install_cert(sChain);   /* горячая замена (отработано в гл. 47) */
}
xrtFree(sChain);

Семантика IssueStored: если остаток жизни локального сертификата не меньше порога в днях — вернуть существующую цепочку как есть (pbRenewed=false); иначе полный выпуск с записью на диск. Проверка остатка строится на разборе x509 (xrt), без внешних процессов.

38.4 Хранилище и восстановление

Хранилище — соглашение о каталогах: accounts/ держит ключи счетов (PKCS#8 PEM; Init переиспользует их, минуя повторную регистрацию), certs/<домен>/ — полную цепочку и происхождение ЦС, всё пишется атомарно (xrtFileWriteAtomic). Проверка продления, чтение сертификата и чтение цепочки ЦС — отдельные функции: свою политику продления можно собрать и без IssueStored.

38.5 Контракт

Частые ошибки

Упражнения