برای نگهداری SSL آپاچی در دبیان ۱۱، فقط نصب یک گواهی کافی نیست. باید وضعیت پشتیبانی سیستم‌عامل، اعتبارسنجی دامنه و اجرای واقعی تمدید را بررسی کنید. این راهنما برای سرورهای موجود است؛ برای راه‌اندازی تازه، ابتدا یک نسخهٔ پشتیبانی‌شدهٔ دبیان انتخاب کنید.
هشدار پایان پشتیبانی: طبق صفحهٔ رسمی Debian، دورهٔ LTS دبیان ۱۱ در ۳۱ اوت ۲۰۲۶ پایان یافته است. پشتیبانی تجاری شخص ثالث، قراردادی جدا با دامنهٔ پوشش مشخص است. نصب HTTPS این کمبود پشتیبانی را برطرف نمی‌کند.
بازبینی فنی: ۲۷ مهر ۱۴۰۵. تاریخ انتشار اولیه و URL قدیمی مقاله حفظ شده‌اند.
پیش‌نیازهای بررسی SSL آپاچی
- از تنظیمات Apache، دادهٔ سایت و تنظیمات Certbot پشتیبان خصوصی قابل بازیابی داشته باشید.
- کاربر مجاز با دسترسی sudo، روش اتصال اضطراری و برنامهٔ برگشت را مشخص کنید.
- رکوردهای A و در صورت وجود AAAA باید به سرور درست برسند. نام www را فقط زمانی درخواست کنید که واقعاً برای آن DNS و سایت آماده دارید.
- اگر کنترل‌پنل گواهی را مدیریت می‌کند، روش همان کنترل‌پنل را دنبال کنید؛ دو ابزار تمدید موازی نسازید.
وضعیت نصب موجود را شناسایی کنید
ابتدا نسخهٔ سیستم و محل Certbot را بررسی کنید. این دستورها برای شناسایی‌اند و نصب تازه انجام نمی‌دهند:
cat /etc/os-release
command -v certbot
certbot --version
sudo apache2ctl configtest
sudo apache2ctl -Sخروجی VirtualHostها را با دامنهٔ موردنظر تطبیق دهید. خطای تنظیمات را پیش از reload رفع کنید. مسیر نصب Certbot ممکن است مربوط به بستهٔ توزیع، Snap یا محیط جداگانهٔ Python باشد؛ نصب روش دوم روی روش قبلی می‌تواند اجراکننده و زمان‌بندی متفاوتی ایجاد کند.
برای نصب جدید، پس از آماده‌کردن سیستم پشتیبانی‌شده، از انتخابگر رسمی Certbot متناسب با وب‌سرور و روش نصب استفاده کنید. شماره‌نسخه‌های ثابت در آموزش‌های قدیمی، معیار انتخاب نسخهٔ امن امروز نیستند.
دامنه و دسترسی اعتبارسنجی را کنترل کنید
در روش HTTP-01، مرجع صدور باید به مسیر چالش دامنه روی پورت ۸۰ دسترسی داشته باشد. هم فایروال سیستم و هم محدودیت شبکه یا پنل ارائه‌دهنده را بررسی کنید. برای حل خطا، فایروال یا کنترل دسترسی را کامل غیرفعال نکنید و قانون SSH را بدون برنامهٔ برگشت تغییر ندهید.
درخواست گواهی wildcard به روش DNS-01 نیاز دارد. این روش با قرار دادن رکورد مناسب DNS اعتبارسنجی می‌کند و شرایطش با HTTP-01 متفاوت است. رمز یا توکن API مربوط به DNS را در فایل عمومی، کد سایت یا تصویر آموزشی قرار ندهید.
صدور گواهی برای VirtualHost درست
اگر نصب موجود Certbot و افزونهٔ Apache سالم و سازگار است، ابتدا نام دامنه در VirtualHost و دسترسی عمومی آن را بررسی کنید. سپس، با جایگزین‌کردن دامنهٔ واقعی، نمونهٔ زیر برای درخواست و نصب گواهی است:
sudo certbot --apache -d example.com -d www.example.comدامنهٔ example.com فقط مثال است. گزینهٔ دوم را اگر www ندارید حذف کنید. پیام‌ها، نام دامنه‌ها و شرایط سرویس را بخوانید؛ همهٔ پرسش‌ها را بدون بررسی تأیید نکنید. Certbot می‌تواند تنظیمات Apache را تغییر دهد، بنابراین اجرای آن روی سرویس فعال نیازمند پشتیبان و زمان مناسب است.
تمدید SSL آپاچی را واقعاً آزمایش کنید
برای مشاهدهٔ گواهی‌های مدیریت‌شده و آزمون تمدید از دستورهای زیر استفاده می‌شود:
sudo certbot certificates
sudo certbot renew --dry-runآزمون dry-run از محیط آزمایشی مرجع صدور استفاده می‌کند و گواهی آزمایشی معتبر برای کاربران تولید نمی‌کند. بااین‌حال کاملاً بدون اثر نیست: ممکن است reload موقت وب‌سرور و اجرای بعضی hookها را به همراه داشته باشد. ابتدا تنظیمات و hookهای نصب خود را بررسی کنید.
موفقیت یک آزمون به معنی وجود زمان‌بندی فعال نیست. روش اجرای خودکار را در همان نصب بررسی کنید؛ بسته به روش نصب، ممکن است timer یا cron مسئول باشد. یک زمان‌بندی تکراری جدید را بدون شناخت مورد قبلی اضافه نکنید.
کنترل HTTPS و هشدار انقضا
نام‌های داخل گواهی، تاریخ واقعی انقضا و زنجیرهٔ اعتماد را برای دامنهٔ اصلی و www کنترل کنید. وجود گواهی معتبر، امنیت کد سایت یا نبود آسیب‌پذیری را ثابت نمی‌کند. در صورت استفاده از CDN، گواهی مبدأ و گواهی لبه را جدا بررسی کنید.
Let’s Encrypt ارسال ایمیل‌های یادآوری انقضا را در سال ۲۰۲۵ متوقف کرده است. برای پایش اعتبار گواهی و شکست تمدید، هشدار مستقل داشته باشید. به فرض ثابت «همیشه ۹۰ روز و تمدید دقیقاً ۳۰ روز قبل» تکیه نکنید؛ تاریخ گواهی و رفتار نسخهٔ نصب‌شده را ملاک قرار دهید.
جمع‌بندی و منابع
اولویت سرور دبیان ۱۱، برنامهٔ مهاجرت یا تعیین پشتیبانی معتبر است. نگهداری SSL آپاچی، دسترسی رمزگذاری‌شده را حفظ می‌کند، اما جای به‌روزرسانی سیستم‌عامل را نمی‌گیرد.
