4. Certificati¶
I certificati digitali servono all'appliance per presentarsi in modo cifrato: l'interfaccia web su HTTPS e la consegna della posta allo smart host.
Il percorso è Setup → Certification Authority.
4.1 L'elenco¶
La tabella riporta per ciascun certificato il nome, la data di scadenza, l'host per cui è emesso e il percorso del file, scaricabile dal pulsante nell'ultima colonna.
La scadenza va guardata
Un certificato scaduto non ferma l'apparato, ma fa comparire un avviso di sicurezza a chiunque apra l'interfaccia, e può bloccare la consegna della posta verso uno smart host che verifica il certificato. La colonna Scadenza è l'unico posto dove il problema si vede prima che si manifesti.
4.2 Certificato autofirmato¶
Nuovo certificato autofirmato genera un certificato emesso dall'appliance stessa. È quello presente alla consegna e va bene per l'uso interno: il traffico è cifrato allo stesso modo di un certificato acquistato.
L'unica differenza è che nessun browser lo riconosce come attendibile, e mostra un avviso al primo accesso.
Rigenerarlo dopo aver cambiato nome o indirizzo
Il certificato è emesso per un nome host preciso. Se l'appliance viene rinominata o cambia indirizzo, il certificato non corrisponde più e l'avviso del browser diventa più insistente: conviene rigenerarlo.
4.3 Let's Encrypt¶
Installa gestore Let's Encrypt aggiunge il componente che ottiene e rinnova automaticamente un certificato riconosciuto dai browser.
È la scelta corretta quando l'interfaccia dell'appliance è raggiungibile da Internet con un nome pubblico, perché elimina l'avviso di sicurezza e il rinnovo manuale.
Richiede un nome pubblico raggiungibile
Let's Encrypt verifica che il nome per cui viene chiesto il certificato punti davvero all'apparato. Su un'appliance raggiungibile solo dalla rete interna la verifica non può concludersi, e il certificato autofirmato resta la strada da seguire.
Esporre l'interfaccia su Internet è un'altra decisione
Ottenere un certificato pubblico non rende sicura l'esposizione dell'interfaccia di amministrazione. Se non c'è una ragione stringente, l'accesso va tenuto sulla rete interna o dietro una VPN, con la protezione brute force attiva e il secondo fattore sugli utenti.