Vlákno názorů k článku
Vypršel kořenový certifikát DST Root CA používaný autoritou Let's Encrypt
od Milan Keršláger - ACMEv1 není funkční od července 2021, takže takové...
-
ACMEv1 není funkční od července 2021, takže takové domény už mají expirovaný certifikát či právě expirovaly (a potřebují nový script tak jako tak).
Psal jsem do diskuse k týden starému článku, že problém je u Microsoft IIS web serveru, který mezilehlé certifikáty vybírá sám a tvrdošíjně vybíral X3 až do jeho expirace (je nutný reboot).
-
Pokud klient používá dostatečně nový software (openssl 1.1.0 a novější), problém není. Pokud má klient starý SW, je v Linuxu potřeba na serveru aktualizovat balíček ca-certificates na verzi 2021.2.50–72 (typicky skrze aktualizace, např. RHEL/CentOS 7) nebo přeložit openssl 1.0.2 s volbou X509_V_FLAG_TRUSTED_FIRST (Ubuntu 16.04) případně udělat blacklist na DST Root CA X3 (případně ručně certifikát odebrat).
