Cum configurați AutoSSL pentru domenii multiple în cPanel

Cum configurați AutoSSL pentru domenii multiple în cPanel devine o întrebare reală abia când un cont ajunge să găzduiască trei sau patru domenii, cu subdomeniile lor, și cel puțin unul dintre ele rămâne fără certificat, deși celelalte merg. AutoSSL emite și reînnoiește certificate gratuite pentru tot ce este în cont, dar face asta doar pentru numele pe care le poate valida.

Ghidul de mai jos arată cum îl porniți pe toate domeniile, cum citiți erorile de validare și ce faceți cu numele pe care nu le poate acoperi.

Cum configurați AutoSSL pentru domenii multiple în cPanel

AutoSSL este o funcție a serverului, activată de administrator din WHM pentru fiecare pachet de găzduire. În cPanel o vedeți la Security, SSL/TLS Status, unde apare lista completă a domeniilor și subdomeniilor din cont, cu starea certificatului pentru fiecare.

Furnizorul de certificate este de obicei cel al cPanel, Sectigo, sau Let's Encrypt, la alegerea administratorului. Pentru dvs. diferența este mică: ambele emit certificate valide 90 de zile, reînnoite automat.

Ce înseamnă „domenii multiple” într-un cont

• Domeniul principal al contului, cu www și subdomeniile de serviciu create automat: mail, webmail, cpanel, webdisk, autodiscover.
• Domeniile suplimentare, addon domains, fiecare cu propriul director și propriile subdomenii.
• Domeniile alias, parked, care afișează același site sub alt nume.
• Subdomeniile create manual: blog, shop, test.

AutoSSL încearcă să acopere toate aceste nume într-un singur certificat pe domeniu. Un cont cu 4 domenii și 30 de subdomenii poate ajunge la peste 40 de nume de validat la fiecare rulare.

Condiția care decide totul: DNS-ul

Înainte de a emite un certificat, autoritatea verifică dacă serverul dvs. chiar controlează numele. Verificarea, numită DCV, se face prin HTTP: autoritatea cere un fișier de la adresa http://domeniu/.well-known/pki-validation/ și trebuie să primească răspunsul pus acolo de cPanel.

Deci fiecare nume trebuie să aibă o înregistrare A sau CNAME care duce la serverul de găzduire. Un subdomeniu creat în cPanel, dar cu DNS-ul administrat în altă parte și fără înregistrare, pică validarea și rămâne fără certificat, iar rularea raportează o eroare pentru el.

Verificarea înainte de rulare

1. Deschideți SSL/TLS Status și notați numele fără certificat sau cu avertisment.
2. Pentru fiecare, verificați înregistrarea DNS. Din terminal: dig +short subdomeniu.firma.ro; rezultatul trebuie să fie adresa IP a serverului.
3. Dacă DNS-ul este în cPanel, corectați din editorul de zonă, cum arată ghidul despre setările DNS de bază în cPanel. Dacă este la Cloudflare sau la registrar, corectați acolo.
4. Așteptați propagarea, de obicei minute, uneori ore, și rulați din nou.

Domeniile care trec prin Cloudflare

Când proxy-ul Cloudflare este activ, norul portocaliu, validarea HTTP ajunge la Cloudflare, nu direct la server, dar Cloudflare o trimite mai departe și AutoSSL funcționează. Excepția: dacă aveți în Cloudflare o regulă care redirecționează tot traficul HTTP către HTTPS înainte ca cererea să ajungă la server, validarea poate eșua. Ghidul despre configurarea Cloudflare din cPanel descrie setările compatibile.

Rularea AutoSSL pe toate domeniile

1. În SSL/TLS Status, apăsați Select All, ca toate numele să fie bifate. Numele excluse anterior apar cu bifa goală și trebuie incluse manual, cu Include during AutoSSL.
2. Apăsați Run AutoSSL.
3. Așteptați. Pentru zeci de nume, procesul durează câteva minute; pagina se actualizează singură.
4. Citiți rezultatul pentru fiecare nume: lacăt verde pentru certificat valid, avertisment galben pentru certificat care expiră curând, eroare roșie cu explicație pentru numele care au picat validarea.

Serverul rulează AutoSSL singur, zilnic, și reînnoiește certificatele cu 15 până la 30 de zile înainte de expirare. Rularea manuală este pentru domenii noi și pentru verificări, nu pentru întreținere.

Cum citiți erorile de validare

• „DNS DCV: No local authority”: numele nu rezolvă spre acest server. Corectați DNS-ul.
• „HTTP DCV: 404”: numele ajunge la server, dar fișierul de validare nu este servit. De obicei o regulă din .htaccess redirecționează sau blochează .well-known. Adăugați o excepție pentru acel director.
• „HTTP DCV: 301/302 la alt domeniu”: o redirecționare a domeniului întreg trimite validarea în altă parte. Redirecționările pe domeniu, descrise în ghidul despre redirecționările 301 și 302 în cPanel, trebuie să excludă .well-known.
• „Rate limit”: prea multe certificate cerute pentru același domeniu într-o săptămână, de obicei după ștergeri și recreări repetate de subdomenii. Așteptați câteva zile.
• „Certificate has too many names”: certificatul depășește numărul maxim de nume, 100 la Let's Encrypt. Excludeți subdomeniile nefolosite.

Numele care merită excluse

AutoSSL încearcă și subdomeniile de serviciu, iar unele dintre ele pică validarea aproape întotdeauna: www.mail.firma.ro, www.webmail.firma.ro și celelalte forme cu www în fața subdomeniilor de serviciu nu au înregistrări DNS, deci raportează erori la fiecare rulare.

Erorile acestea sunt inofensive, dar umplu jurnalul și e-mailurile de notificare. Excludeți-le din SSL/TLS Status, cu Exclude from AutoSSL, și lista rămâne curată. Nu excludeți însă mail.firma.ro în sine: fără certificat pe el, aplicațiile de e-mail avertizează la fiecare conectare.

Subdomeniile de test și de dezvoltare

Un subdomeniu test lăsat luni de zile fără DNS produce câte o eroare pe zi. Fie îi dați înregistrare DNS, fie îl ștergeți din cPanel când nu mai aveți nevoie de el. Ghidul despre crearea și configurarea subdomeniilor în cPanel acoperă și ștergerea curată.

Verificarea certificatelor din exterior

Interfața cPanel arată ce crede serverul; ce vede vizitatorul se verifică din browser sau din terminal. Pentru fiecare domeniu important:

echo | openssl s_client -connect firma.ro:443 -servername firma.ro 2>/dev/null | openssl x509 -noout -dates -subject

Rezultatul arată numele din certificat și data de expirare. Repetați pentru www, pentru fiecare domeniu suplimentar și pentru mail. Dacă un nume răspunde cu certificatul altui domeniu din același server, AutoSSL nu l-a acoperit și trebuie să căutați eroarea în SSL/TLS Status.

Redirecționarea către HTTPS

Certificatul valid nu mută singur vizitatorii pe HTTPS. Activați redirecționarea din Domains, cu comutatorul Force HTTPS Redirect din dreptul fiecărui domeniu, sau dintr-o regulă în .htaccess. Pentru site-urile WordPress, actualizați și adresa site-ului din setări, ca legăturile interne să fie generate cu HTTPS.

Pașii pentru un singur domeniu, inclusiv redirecționarea, sunt în ghidul despre activarea SSL gratuit în cPanel.

Când AutoSSL nu este suficient

• Certificate wildcard, de forma *.firma.ro, pentru zeci de subdomenii create dinamic: AutoSSL nu le emite. Se cumpără sau se emit cu validare DNS, prin unelte separate.
• Certificate cu validare de organizație sau extinsă, cerute de unele platforme de plăți sau parteneri: se cumpără și se instalează manual din SSL/TLS, Manage SSL Sites.
• Domenii al căror DNS nu poate fi îndreptat spre server, de exemplu un domeniu folosit doar pentru e-mail pe alt furnizor: nu au nevoie de certificat pe acest server.

Instalarea unui certificat cumpărat nu dezactivează AutoSSL pentru celelalte domenii; cele două coexistă, iar AutoSSL nu suprascrie un certificat plătit valid.

Întreținerea pe termen lung

• Citiți e-mailurile de notificare AutoSSL. Ele anunță din timp numele care nu mai pot fi validate, de obicei fiindcă s-a schimbat DNS-ul.
• După orice mutare de DNS, schimbare de registrar sau activare a Cloudflare, rulați manual AutoSSL și verificați starea.
• La fiecare domeniu nou adăugat în cont, așteptați propagarea DNS și rulați AutoSSL o dată, ca să nu depindeți de rularea zilnică.
• Verificați trimestrial, din exterior, certificatele domeniilor importante și data lor de expirare.

Un caz întâlnit des: un site mutat pe Cloudflare, unde www primise o înregistrare CNAME spre domeniul principal, dar subdomeniul www al domeniului suplimentar nu primise nimic. Timp de trei luni, adresa cu www a celui de-al doilea site afișa avertisment de securitate, iar nimeni nu a observat, fiindcă toată lumea intra fără www. O rulare AutoSSL cu citirea erorilor a găsit problema în două minute.

Ordinea corectă când adăugați un domeniu nou

Cele mai multe erori AutoSSL vin din ordinea greșită a pașilor. Domeniul este adăugat în cPanel, site-ul este încărcat, redirecționarea către HTTPS este activată, și abia apoi cineva observă că DNS-ul încă arată spre vechea găzduire. Validarea pică, iar vizitatorii văd avertismentul de securitate.

1. Adăugați domeniul în cPanel, la Domains, cu directorul lui.
2. Setați înregistrările A pentru domeniu și pentru www spre adresa IP a serverului, la registrar sau la Cloudflare.
3. Așteptați până când dig +short întoarce adresa corectă de pe cel puțin două rețele diferite.
4. Rulați AutoSSL din SSL/TLS Status și verificați că ambele nume au lacăt verde.
5. Abia acum activați redirecționarea către HTTPS și încărcați site-ul.

Dacă mutați un site existent de pe altă găzduire, țineți vechea găzduire activă câteva zile după schimbarea DNS-ului. În intervalul de propagare, o parte din vizitatori ajung încă pe serverul vechi, iar certificatul de acolo trebuie să fie valid în continuare.

Domeniile cu DNS la Cloudflare și înregistrarea CAA

Dacă ați adăugat în DNS o înregistrare CAA, care spune ce autorități au voie să emită certificate pentru domeniu, verificați că include autoritatea folosită de AutoSSL: sectigo.com sau letsencrypt.org. O înregistrare CAA care permite doar o altă autoritate blochează emiterea, iar eroarea din AutoSSL menționează explicit CAA.

De reținut

AutoSSL acoperă toate domeniile și subdomeniile unui cont dacă fiecare nume rezolvă spre server și dacă fișierul de validare din .well-known nu este blocat de redirecționări. Rulați-l manual după fiecare schimbare de DNS, citiți erorile pe nume, excludeți subdomeniile de serviciu fără DNS și verificați din exterior certificatele importante. Detaliile fiecărei opțiuni din interfață sunt în documentația cPanel pentru SSL/TLS, iar restul panoului în documentația generală cPanel.

Dacă vreți să știți dacă toate domeniile și subdomeniile dvs. au certificate valide și redirecționare corectă către HTTPS, verificarea face parte din auditul SEO gratuit de la GOAI, iar configurarea completă intră în serviciile de SEO tehnic.