In arrivo. Stiamo preparando i certificati Thawte e GeoTrust con ACME. Se ti interessa, scrivici: ti avvisiamo appena sono disponibili.
ACME (Automatic Certificate Management Environment) è il protocollo standard con cui un programma sul tuo server, il client ACME, ottiene un certificato dalla Certification Authority, lo installa e lo rinnova da solo. È nato con Let's Encrypt e oggi lo usano anche le Certification Authority commerciali, per certificati DV, OV ed EV.
Perché conviene
La validità massima dei certificati scende a 200 giorni nel 2026, a 100 nel 2027 e a 47 nel 2029. Con il rinnovo manuale significa generare un CSR, attendere l'emissione e installare il certificato più volte l'anno per ogni sito, con il rischio di dimenticarne uno. Con ACME:
- il certificato si rinnova da solo, con largo anticipo sulla scadenza;
- niente CSR da generare né file da copiare: la chiave privata nasce e resta sul server;
- il server web viene ricaricato con il nuovo certificato, senza interruzioni;
- un nuovo certificato, ad esempio dopo un cambio di server, si ottiene in pochi minuti.
Come funziona
Prima, le verifiche
Come per ogni certificato, la Certification Authority deve verificare chi lo richiede. Con ACME queste verifiche si fanno prima che il client chieda il certificato, e possono richiedere giorni:
- Scegli il certificato e i domini, come per un ordine normale, e la durata del servizio.
- Verifica dell'organizzazione (solo OV ed EV), con i controlli e i tempi di un ordine normale.
- Verifica dei domini: ogni dominio deve risultare sotto il tuo controllo (cos'è). Come si farà con il nostro servizio, prima dell'attivazione o dal client con le prove automatiche di ACME, lo indicheremo all'avvio.
- Ricevi le credenziali: l'indirizzo del server ACME e una coppia di chiavi (External Account Binding, EAB) che collegano il tuo client al servizio acquistato.
- Configuri il client sul server, con le credenziali.
Il client non aspetta le verifiche: se chiede un certificato prima che siano complete, la richiesta viene rifiutata con un errore. Non è un problema, basta riprovare a verifiche concluse.
Poi, in automatico
- Il client chiede un nuovo certificato, con largo anticipo sulla scadenza.
- La Certification Authority controlla, in quel momento, che le verifiche siano ancora valide. Se lo sono, emette il certificato in pochi secondi.
- Il client lo installa, con la catena degli intermedi, e ricarica il server web.
Cosa si automatizza, e cosa no
Le emissioni e le installazioni sono automatiche, a verifiche valide. Le verifiche no, non necessariamente: la Certification Authority può riusarle solo per un periodo limitato, poi vanno ripetute.
- La verifica dell'organizzazione (OV ed EV) si ripete circa una volta l'anno, e richiede sempre un passaggio da parte tua. Se scade, le richieste del client vengono rifiutate finché non è completata. Ti avvisiamo per tempo.
- La verifica dei domini è riusabile per un periodo che scende da 200 giorni nel 2026 a 10 giorni nel 2029. Si può automatizzare solo se la fa il client, con una prova che richiede di pubblicare un file sul sito o di modificare il DNS: come funziona, e come prepararsi, in La verifica dei domini con ACME.
In ogni caso, se una verifica scade, il certificato in uso resta valido fino alla sua scadenza: c'è tempo per intervenire.
I client più usati
| Ambiente | Client |
|---|---|
| Linux, nginx e Apache | Certbot, acme.sh, lego |
| Windows e IIS | win-acme, Posh-ACME |
| Server con ACME integrato | Caddy, Traefik, Apache con mod_md |
| Pannelli di hosting | cPanel, Plesk e simili, spesso con un'estensione |
Sono gratuiti e funzionano anche con le Certification Authority commerciali: al posto di Let's Encrypt si indicano l'indirizzo del server ACME e le credenziali EAB. Le guide passo passo: Certbot con nginx e Apache e win-acme con IIS.
Cosa resta a te
- Il servizio. Il client rinnova i certificati, non il servizio acquistato: alla sua scadenza le emissioni si fermano. I domini da aggiungere vanno aggiunti al servizio.
- Le verifiche che non sono automatiche, quando ti avvisiamo che scadono.
- Il controllo. Un rinnovo può fallire senza che nessuno se ne accorga: come tenerlo d'occhio.
- Le credenziali. Trattale come una password: chi le ha può ottenere certificati per i tuoi domini. Se pensi che siano state esposte, scrivici e le sostituiamo.