Let's Encrypt

Tras la instalación, este módulo genera automáticamente una clave privada para tu cuenta en letsencrypt.org en $data_dir/letsencrypt/account.key. Si quieres o necesitas usar la clave de tu propia cuenta, sustituye el archivo.

Para que las solicitudes de certificado funcionen, tu sitio debe ser accesible mediante HTTP simple; consulta más abajo ejemplos de configuración en caso de que fuerces a tus clientes a la versión SSL.

Tras la instalación, activa el cronjob Update letsencrypt certificates y observa los mensajes en tu registro.

Este addons solicita un certificado para el dominio nombrado en el parámetro de configuración web.base.url - si esto devuelve localhost o similar, el módulo no solicita nada.

Otras configuraciones que se explican por sí mismas están en Settings -> General Settings. Allí puede añadir más dominios al CSR, añadir un script personalizado que actualice su DNS y añadir un script que se utilizará para recargar su servidor web (si es necesario). El número de dominios que se pueden añadir a un certificado está limitado a 100. Se puede utilizar un certificado comodín para evitar ese límite.

Tenga en cuenta que todos esos dominios deben ser accesibles públicamente en el puerto 80 vía HTTP, y deben tener una entrada para .well-known/acme-challenge que apunte a $datadir/letsencrypt/acme-challenge de su instancia de odoo.

Dado que los cambios de DNS pueden tardar algún tiempo en propagarse, cuando respondemos a un desafío DNS y el servidor intenta comprobar nuestra respuesta, puede fallar (y probablemente lo hará). La solución a esto está documentada en https://tools.ietf.org/html/rfc8555#section-8.2 y básicamente es una cabecera Retry-After bajo la cual podemos indicar al servidor que reintente el desafío. En el momento en que se escribieron estas líneas, Boulder no había implementado esta funcionalidad. Esto nos llevó a utilizar el parámetro de configuración letsencrypt.backoff, que es la cantidad de minutos que este módulo intentará consultar el servidor para reintentar la validación de la respuesta a nuestro desafío, específicamente es el parámetro deadline de poll_and_finalize.

El módulo configura un cronjob que solicita y renueva los certificados automáticamente.

Los certificados se renuevan un mes antes de que caduquen. A partir de entonces, se intenta la renovación cada día hasta que se consigue.

Tras la primera ejecución, encontrarás un archivo llamado domain.crt en $datadir/letsencrypt; configura tu proxy SSL para que use este archivo como certificado.

Configuración en profundidad

If you want to use multiple domains on your CSR then you have to configure them
from Settings -> General Settings. If you use a wildcard in any of those domains
then letsencrypt will return a DNS challenge. In order for that challenge to be
answered you will need to **either** provide a script (as seen in General Settings)
or install a module that provides support for your DNS provider. In that module
you will need to create a function in the letsencrypt model with the name
``_respond_challenge_dns_$DNS_PROVIDER`` where ``$DNS_PROVIDER`` is the name of your
provider and can be any string with length greater than zero, and add the name
of your DNS provider in the settings dns_provider selection field.

In any case if a script path is inserted in the settings page, it will be run
in case you want to update multiple DNS servers.

A reload command can be set in the Settings as well in case you need to reload
your web server. This by default is ``sudo /usr/sbin/service nginx reload``


You'll also need a matching sudo configuration, like::

    your_odoo_user ALL = NOPASSWD: /usr/sbin/service nginx reload

Further, if you force users to https, you'll need something like for nginx::

    if ($scheme = "http") {
        set $redirect_https 1;
    }
    if ($request_uri ~ ^/.well-known/acme-challenge/) {
        set $redirect_https 0;
    }
    if ($redirect_https) {
        rewrite ^   https://$server_name$request_uri? permanent;
    }

and this for apache::

    RewriteEngine On
    RewriteCond %{HTTPS} !=on
    RewriteCond %{REQUEST_URI} "!^/.well-known/"
    RewriteRule ^/?(.*) https://%{SERVER_NAME}/$1 [R,L]

In case you need to redirect other nginx sites to your Odoo instance, declare
an upstream for your odoo instance and do something like::

    location /.well-known {
        proxy_pass    http://yourodooupstream;
    }

If you're using a multi-database installation (with or without dbfilter option)
where /web/databse/selector returns a list of more than one database, then
you need to add ``letsencrypt`` addon to wide load addons list
(by default, only ``web`` addon), setting ``--load`` option.
For example, ``--load=web,letsencrypt``