SSL-certifikat

Varje hemsida som hostas på Templ får ett gratis SSL-certifikat från Let's Encrypt som installeras och förnyas automatiskt. Du behöver inte köpa, installera eller förnya någonting.

Automatiska SSL-certifikat

Att byta primär domän slutförs omedelbart, utan att vänta på DNS eller slutgiltig SSL-utfärdning - se domäntilldelning och sök-ersätt. Templ använder ett provdomän-certifikat medan det slutgiltiga Let's Encrypt-certifikatet väntar. Det matchar inte din anpassade domän, så en webbläsare som ansluter direkt till Templ på den domänen kommer att visa en certifikatvarning. Det slutgiltiga certifikatet utfärdas automatiskt när din domän pekar mot Templ, aktiveras automatiskt när det utfärdats, och förnyas automatiskt innan det går ut.

• Om Templ hanterar din DNS (din domän använder Templs namnservrar) behöver du inte göra någonting. Certifikatet genereras automatiskt när domänen har lagts till och dess poster har propagerats.
• Om du hanterar din DNS externt (domänen pekar mot Templ via A-poster eller dina egna namnservrar) kan certifikatet endast genereras när dessa poster är korrekta och har propagerats. De flesta förseningar och fel kommer från det här fallet.

Varför tar mitt certifikat lång tid eller har inte genererats än?

När en domän väntar på certifikatutfärdning kan du se detta panelmeddelande:

Din domän har lagts till, men den har inget SSL-certifikat än. Ett certifikat kommer att genereras när DNS-posterna är uppdaterade och propagerade.

Detta meddelande gäller slutgiltig certifikatutfärdning, inte huruvida den primära domänen har tilldelats. Ett tillfälligt certifikat betyder inte att det slutgiltiga Let's Encrypt-certifikatet är klart. DNS som ännu inte pekar mot Templ hindrar Let's Encrypt från att verifiera domänen. Om Templ hanterar din DNS löser detta sig självt när posterna propageras. Om du hanterar DNS externt, kontrollera följande - i ordning efter hur vanliga de är.

1. DNS har inte propagerat än

DNS-ändringar tar tid att spridas över internet.

• Namnserverändringar: tillåt 4 till 8 timmar för .com- och .net-domäner, och 24 till 48 timmar för andra tillägg.
• A-poständringar: vanligtvis snabbare, men beror fortfarande på din tidigare TTL.

Vi rekommenderar DNS Checker för att verifiera dina poster från platser runt om i världen: ange din domän, välj posttypen (A för A-poster, NS för namnserverändringar) och bekräfta att den pekar mot Templ överallt innan du förväntar dig ett certifikat. Gröna bockar över alla platser betyder att ändringen har propagerats.

2. A-poster för @ och www stämmer inte överens

A-posterna för både @ och www måste peka mot din hemsidas IP-adress på Templ, och de måste vara identiska. Ett certifikat täcker både rotdomänen och www-versionen, så om endast en är korrekt - eller de pekar mot olika IP-adresser - misslyckas genereringen.

Hitta din hemsidas IP-adress under Websites → din hemsida → Översikt i Templ-panelen, ange sedan både @ och www A-poster till den. Se Ändra en A-post för de fullständiga stegen.

För att verifiera, använd DNS Checker: ange din domän, välj A från rullgardinsmenyn och bekräfta att den returnerar din Templ-IP - upprepa sedan för www-versionen.

3. AAAA (IPv6)-poster finns på @ eller www

Bekräfta att inga finns med DNS Checker: ange din domän, välj AAAA från rullgardinsmenyn och kontrollera att inga poster returneras för varken @ eller www.

4. Validering genom Cloudflare

När Cloudflares proxy är aktiverad returnerar publik DNS Cloudflares IP-adresser istället för Templs. Kontrollera att posterna i din Cloudflare-instrumentpanel pekar mot Templ-hemsidan och att säkerhetsregler tillåter certifikatvalideringsförfrågningar att nå den. Se Certifikatförnyelse med Cloudflare för valideringssökvägen.

Om det slutgiltiga certifikatet saknas, prova Generate SSL Certificate enligt beskrivningen nedan. Om utfärdningen misslyckas, kontakta support med domänen och felmeddelandet.

Att byta en aktiv domän till DNS only skickar besökare direkt till Templ och exponerar dess ursprungscertifikat. Om det certifikatet ännu inte är giltigt för domänen kan besökare stöta på HTTPS-fel; samordna eventuell proxyändring med support.

5. En tillfällig kö på Templ

Ibland finns det en kort fördröjning på vår sida: när många certifikat genereras eller förnyas samtidigt köas nya förfrågningar och tar lite längre tid att behandla. Om din DNS är korrekt och fullt propagerad men certifikatet fortfarande inte finns där, vänta lite längre eller utlös det manuellt nedan. Om det fortfarande inte visas, kontakta support så tittar vi på det.

Generera SSL-certifikatet manuellt

Om certifikatet inte har genererats automatiskt efter att din DNS är korrekt och fullt propagerad kan du utlösa det själv.

1. Gå till Domäner i vänstermenyn i Templ-panelen.
2. Hitta din domän, klicka på den och klicka på Generate SSL Certificate.

Knappen Generate SSL Certificate visas när den domänen inte har något certifikat och ingen annan operation körs på den - den väntar inte på att DNS ska propagera. Om du inte ser den har domänen redan ett certifikat, eller så pågår fortfarande en operation på den: vänta tills den är klar och ladda om sidan. Varje domänpost har sin egen knapp, så kontrollera posten för exakt den domän du lade till (till exempel www.example.com om du lade till den separat).

Om det fortfarande misslyckas, kontakta support - DNS-posterna är nästan alltid orsaken.

Förnya certifikat genom Cloudflare

När Cloudflares proxy är aktiverad ser besökare Cloudflares certifikat, vilket är separat från ursprungscertifikatet på Templs server. Med proxyn inaktiverad (DNS only) ansluter besökare direkt till Templ och ser dess certifikat. Om du hanterar ditt eget Cloudflare-konto kan dess proxy eller inställningar störa Templs automatiska förnyelse.

Med Full (strict) aktiverat gör ett utgånget ursprungscertifikat att Cloudflare avvisar anslutningen, vilket gör din hemsida otillgänglig.

För förnyelse begär Let's Encrypt http://<your-domain>/.well-known/acme-challenge/<token> över HTTP port 80. Cloudflare WAF-regler, bot-utmaningar och åtkomstbegränsningar får inte blockera dessa förfrågningar eller hindra dem från att nå Templ. Begränsa eventuella undantag till /.well-known/acme-challenge/, inte hela hemsidan.

Om förnyelsen misslyckas, kontakta support före utgången för att lösa det medan certifikatverifieringen hålls aktiverad.

Installera ett anpassat SSL-certifikat

Det kostnadsfria automatiska certifikatet räcker för de allra flesta hemsidor. Om du behöver installera ett certifikat från en tredjepartsleverantör (till exempel ett EV- eller wildcard-certifikat köpt någon annanstans) kan du göra det.

Förberedelse

Detta förutsätter att du redan har köpt ditt certifikat och laddat ner certifikatfilerna. Filerna som behövs för installation på Templ är SSL-certifikaten för Nginx:

• domain.com.cert - SSL-certifikatet, som även bör inkludera certifikatkedjan
• domain.com.key - den privata nyckeln

Vissa leverantörer levererar certifikatet och dess kedja som två separata filer:

• domain.com.cert
• domain_com.ca-bundle (certifikatkedjan som en separat fil)

Dessa måste kombineras till en enda domain.com.cert-fil, som sedan måste matcha den privata nyckeln.

Se till att certifikatet matchar den privata nyckeln

Behåll den privata nyckeln på din dator; klistra inte in den i en online-certifikatkontroll. Använd OpenSSL lokalt för att jämföra de publika nycklarna. Dessa kommandon fungerar för både RSA- och EC-nycklar och skriver inte ut den privata nyckeln.

Extrahera den publika nyckeln från ditt certifikat:

openssl x509 -in domain.com.cert -pubkey -noout

Extrahera den publika nyckeln från din privata nyckel:

openssl pkey -in domain.com.key -pubout

Båda kommandona måste lyckas och skriva ut samma kompletta BEGIN PUBLIC KEY-block. Om någon av dem rapporterar ett fel, åtgärda filsökvägen eller formatet innan du jämför. Matchande publika nycklar bekräftar att paret hör ihop, inte att certifikatet är outgånget eller giltigt för din domän.

Installation

Installation av ett anpassat certifikat hanteras av Templ Support. Kontakta support för att ordna installation och en säker överföringsmetod för den kombinerade domain.com.cert (certifikat plus kedja, i Nginx-format) och den matchande domain.com.key. Håll den privata nyckeln borta från det första meddelandet; den måste förbli konfidentiell.

Framtvinga HTTPS med HSTS

Slutgiltig SSL-utfärdning och HTTP-till-HTTPS-omdirigeringen är automatisk, men HSTS är det inte. Verifiera att din domän laddas över tillförlitlig HTTPS utan certifikatvarningar innan du aktiverar HSTS. Om en säkerhetsskanning flaggar en saknad Strict-Transport-Security-header, se Lägg till HSTS och säkerhetsheaders för hur du lägger till den.