HowTo: Let's-Encrypt-Wildcard-Zertifikat mit DNS-01

DNS-01 liefert Wildcard-Zertifikate (*.domain), ohne Port 80 zu oeffnen — ideal fuer interne Dienste. Ausstellung und Auto-Erneuerung, Schritt fuer Schritt.

1. Certbot + DNS-Plugin installieren

sudo apt -y install certbot python3-certbot-dns-cloudflare

2. DNS-API-Zugangsdaten

# token API Cloudflare cu drept Edit pe zona DNS
sudo mkdir -p /etc/letsencrypt
sudo tee /etc/letsencrypt/cloudflare.ini >/dev/null <<'EOF'
dns_cloudflare_api_token = TOKEN_AICI
EOF
sudo chmod 600 /etc/letsencrypt/cloudflare.ini

3. Wildcard ausstellen

# certificat WILDCARD (fara port 80 deschis!)
sudo certbot certonly \
  --dns-cloudflare \
  --dns-cloudflare-credentials /etc/letsencrypt/cloudflare.ini \
  -d 'example.com' -d '*.example.com' \
  --agree-tos -m admin@example.com --non-interactive

4. Auto-Erneuerung

# reinnoire automata (certbot.timer ruleaza deja de 2x/zi)
sudo certbot renew --dry-run
# reincarca serviciul dupa reinnoire:
sudo certbot renew --deploy-hook 'systemctl reload nginx'

5. Pruefen

sudo certbot certificates
sudo openssl x509 -in /etc/letsencrypt/live/example.com/cert.pem -noout -dates

Fazit

Sie haben nun ein Wildcard-Zertifikat, automatisch erneuert, ohne Port-80-Exposition — perfekt fuer Intranet. Wir konfigurieren es fuer Sie.