SSL Certificate: ส่ง CSR ยืนยันโดเมน และติดตั้งใบรับรอง

SSL Certificate ที่คุณซื้อผ่าน THAI DATA CLOUD จัดการได้เองทั้งหมดในพอร์ทัล TDC Enterprise ที่เมนู Web & Application → SSL Certificate ตั้งแต่ส่ง CSR ให้ผู้ออกใบรับรอง (RapidSSL · DigiCert) ยืนยันความเป็นเจ้าของโดเมน ดาวน์โหลดไฟล์ไปติดตั้งบนเว็บเซิร์ฟเวอร์ ไปจนถึงขอออกใบรับรองใหม่ (Reissue) เมื่อย้ายเซิร์ฟเวอร์ ใบรับรองที่จ่ายเงินแล้วแต่ยังไม่ได้ส่ง CSR จะยังไม่ถูกออกให้ จึงควรตั้งค่าทันทีหลังสั่งซื้อ

คู่มือนี้เหมาะกับผู้ดูแลเว็บไซต์ที่เพิ่งได้รับใบรับรอง หรือกำลังย้ายเว็บไปเครื่องใหม่ เมื่อทำครบทุกขั้นตอน เว็บของคุณจะเปิดผ่าน HTTPS ได้พร้อมไฟล์ใบรับรองครบชุด และคุณจะรู้วิธีดูวันหมดอายุและการ Reissue ที่ไม่มีค่าใช้จ่าย

สิ่งที่ต้องเตรียม (SSL Certificate)

• ใบรับรองที่ชำระเงินแล้วและแสดงอยู่ในหน้า SSL Certificate ของบัญชี การสั่งซื้อและต่ออายุไม่ได้ทำจากหน้านี้
• สิทธิ์แก้ไข DNS ของโดเมน หรือสิทธิ์อัปโหลดไฟล์ขึ้นเว็บไซต์ หรือสิทธิ์อ่านกล่องอีเมลผู้ดูแลโดเมน เช่น [email protected] อย่างใดอย่างหนึ่ง
• CSR จาก control panel หรือเซิร์ฟเวอร์ของคุณ หรือให้ระบบสร้าง key และ CSR ให้
• รู้ประเภทเว็บเซิร์ฟเวอร์ที่ใช้ เช่น Apache, Nginx หรือ IIS และมีที่เก็บ private key ที่ปลอดภัย

ขั้นตอนที่ 1: เปิดรายการ SSL Certificate

คลิก Web & Application (เว็บและแอปพลิเคชัน) ที่แถบเมนูด้านซ้าย แล้วเลือก SSL Certificate หน้าจอจะแสดงหัวข้อ Your SSL certificates พร้อมปุ่ม Refresh แต่ละแถวแสดงโดเมน ชื่อสินค้า วันครบกำหนดชำระ (Due) และบอกว่าเป็นใบรับรองแบบ Standalone หรือเป็น Add-on ของบริการโฮสติ้ง พร้อมสถานะการเรียกเก็บเงิน

คลิกแถวหรือคำว่า Manage เพื่อเปิดหน้าจัดการ ถ้ามีกรอบเตือน This list may be incomplete ให้รอสักครู่แล้วคลิก Refresh เพราะข้อมูลบางส่วนอาจยังโหลดไม่ครบ

ขั้นตอนที่ 2: เตรียม CSR ใน Configure certificate

หน้าจัดการแสดงการ์ด Status, Common name, Certificate expires และ CA order number ถ้าใบรับรองยังไม่ได้ตั้งค่า จะมีการ์ด Next step และปุ่ม Configure certificate คลิกปุ่มนี้ หน้าต่างจะเตือนให้ตรวจชื่อโดเมนก่อนส่ง เพราะถ้าผิดต้อง Reissue ใหม่ทั้งหมด จากนั้นเลือกวิธีได้ CSR

Generate a CSR for me

กรอก Domain, Organisation, City, Province / State, Country code (2 ตัวอักษร เช่น TH) และ Email แล้วคลิก Generate key & CSR ระบบจะแสดง private key เพียงครั้งเดียว คลิก Copy หรือ Download เก็บไว้ แล้วติ๊ก I have saved the private key somewhere safe. ก่อนส่ง key นี้ไม่ถูกเก็บไว้ที่ใด ถ้าหายจะใช้ใบรับรองไม่ได้

I already have a CSR

วาง CSR แบบ PEM ที่ขึ้นต้นด้วย -----BEGIN CERTIFICATE REQUEST----- วิธีนี้ปลอดภัยที่สุด เพราะ private key ไม่เคยออกจากเซิร์ฟเวอร์ของคุณ ถ้าใช้ Linux สร้างเองได้ด้วยคำสั่งนี้

openssl req -new -newkey rsa:2048 -nodes \
  -keyout www.example.com.key -out www.example.com.csr \
  -subj "/C=TH/ST=Bangkok/L=Bangkok/O=Example Co., Ltd./CN=www.example.com"
chmod 600 www.example.com.key
cat www.example.com.csr

ขั้นตอนที่ 3: เลือกวิธียืนยันโดเมนแล้วส่งคำขอ

ในหน้าต่างเดียวกัน เลือก Domain validation method ได้ 3 แบบ คือ DNS — add a TXT record (no email needed), File — publish a file on the site (ใช้กับ wildcard ไม่ได้) และ Email — approval link sent to an address at the domain ถ้าเลือก Email ต้องเลือก Approval email จากรายการที่ผู้ออกใบรับรองกำหนด อีเมลส่วนตัวทั่วไปจะถูกปฏิเสธ

เลือก Web server ให้ตรงกับเครื่องที่จะติดตั้ง ตรวจข้อมูลผู้ติดต่อ (First name, Last name, Job title, Phone, Contact email) ซึ่งเติมจากบัญชีให้แล้ว แก้ได้ถ้าผู้ดูแลเว็บเป็นคนละคน แล้วคลิก Submit to certificate authority

ขั้นตอนที่ 4: ทำ Domain validation ให้ผ่าน

หลังส่งคำขอ การ์ด Domain validation ในหน้าจัดการจะแสดงสิ่งที่ต้องทำตามวิธีที่เลือก

• File หน้าจอแสดง path ของไฟล์ URL ที่ต้องเปิดได้ (Must be reachable at) และ File contents ให้ Copy หรือ Download ไปวางบนเว็บแบบข้อความล้วน แล้วคลิก I have uploaded it — check now
• DNS เพิ่ม record ตาม Type (TXT), Host / name และ Value ที่แสดง แล้วคลิก I have added it — check now การเปลี่ยน DNS อาจใช้เวลาหลายนาที
• Email เปิดอีเมลอนุมัติแล้วกดยืนยัน ถ้าไม่ได้รับ ใช้ปุ่ม Re-send approval email หรือ Change address เพื่อเปลี่ยนที่อยู่ แล้วกด Save & send

ตรวจจากเครื่องของคุณก่อนกดปุ่มตรวจสอบ โดยเปลี่ยนค่าในตัวอย่างให้ตรงกับที่หน้าจอแสดง เก็บไฟล์หรือ record ไว้ตามเดิมแม้ออกใบรับรองแล้ว เพราะจะถูกใช้ตรวจอีกครั้งตอน Reissue

curl -s http://www.example.com/.well-known/pki-validation/fileauth.txt
dig +short TXT example.com

cat www.example.com.crt www.example.com.ca-bundle.crt | sudo tee /etc/ssl/certs/www.example.com.fullchain.crt > /dev/null
sudo nginx -t && sudo systemctl reload nginx