Trin 7 af 8

7. Vælg, hvor certifikaterne kommer fra

En certifikatprofil bestemmer, hvor et certifikat kommer fra. Brug profilen Gratis Auto til jeres første certifikat. Appliancen har selv oprettet den, og I vælger den i reglen i trin 8.

Profiler og kilder

Profilerne ligger under Opsætning › Certifikatudstedelse › Profiler. En profil prøver sine kilder oppefra. Kan den første ikke levere, prøves den næste.

Gratis Auto, mærket Startprofil: Let’s Encrypt og derefter Google Trust Services via sslbrain Cloud. Oprettes på appliancen, når licensen aktiveres.
Default, mærket Fra sslbrain Cloud: Let’s Encrypt og derefter Google Trust Services. Appliancens eget certifikat bruger den (trin 3).
FairSSL ACME med gratis backup, mærket Fra sslbrain Cloud: FairSSL og derefter Let’s Encrypt og Google Trust Services (FairSSL).

En profil mærket Fra sslbrain Cloud ændres i sslbrain Cloud og kan ikke redigeres eller slettes på appliancen.

Opret en profil

Operatører og administratorer kan oprette og redigere profiler og kilder.

Åbn Profiler, og klik på Opret certifikatprofil.
Giv profilen et Navn, fx Web og wildcard.
Klik på Tilføj under Certifikatkilder ved hver kilde, profilen skal bruge. Flyt dem med pilene. Rækkefølgen er den rækkefølge, de prøves i.
Vælg Prioriteret liste failover under Valg mellem kilder.
Vælg Default nøgletype. Den bruges af certifikater, der ikke selv vælger nøgletype.
Klik på Opret profil.

Gratis certifikater med Gratis Auto

Gratis Auto giver gratis DV-certifikater og koster ingen units. Standardnøglen er ECDSA P-384.

Appliancen laver nøglen og CSR’en. Under udstedelsen bliver den private nøgle på appliancen, og kun CSR’en sendes videre. Nøglen sendes først til en server, når en regel installerer certifikatet (eksport af private nøgler). Domænevalideringen sker med jeres CNAME viderestilling eller DNS-API-adgang fra trin 6.

Omdøber eller sletter I profilen, opretter sslbrain den ikke igen.

Certifikater fra FairSSL

FairSSL-certifikater bestilles af reglen gennem profilen. Der skal ikke bestilles noget i hånden i sslbrain Cloud.

Bed FairSSL om at knytte jeres sslbrain Cloud-konto til jeres FairSSL-konto.
sslbrain Cloud opretter profilen FairSSL ACME med gratis backup, og den kommer selv over på appliancen.
Vælg profilen i reglen i trin 8.

DigiCert-certifikater via FairSSL kræver posten _dnsauth.<domæne> (CNAME viderestilling).

Produkter, der koster units, betales med units, som I køber i sslbrain Cloud under Licenser og units (units). Kilden Certifikatordre via sslbrain Cloud viser under Produkter, hvilke produkter kontoen kan få.

Kilder og rækkefølge

Kilderne ligger under Kilder › Kilder. Nye kilder oprettes med Tilføj kilde:

Certifikatordre via sslbrain Cloud: signeret certifikatordre gennem sslbrain Cloud. Den private nøgle bliver på appliancen.
ACME direkte fra appliance: appliancen taler selv ACME med en CA på jeres egen ACME-konto. Klar til brug er Let’s Encrypt, Google Trust Services, ZeroSSL, Sectigo, GlobalSign Atlas, SSL.com, DigiCert Trust Lifecycle og FairSSL ACME, og I kan skrive adressen på en anden ACME-server. Kræver CA’en EAB (External Account Binding), skriver I de to EAB-værdier fra CA’en.
Windows CA: certifikater fra jeres egen AD CS (Windows CA).
MitID: VOCES-, FOCES- og MOCES-certifikater fra MitID Erhverv. Kræver modulet MitID.
Manuel upload af certifikat: certifikater, I selv uploader (upload).

Certifikater, som en service-agent finder i Windows’ certifikatlager på en server, kan importeres i sslbrain (Certifikater på serverne).

Profilen springer en kilde over, hvis kilden er i fejl, ikke kan udstede certifikatets nøgletype eller ikke har et slået-til produkt, der dækker navnene. En midlertidig fejl prøves én gang til på samme kilde. Hver fornyelse starter fra toppen af listen.

En ejer eller administrator kan stoppe en kilde fra sslbrain Cloud på denne appliance med Bloker på denne appliance. Kun administratorer kan slette en kilde.

Levetid: Let’s Encrypt-profilen på kilden

En Let’s Encrypt-kilde vælger, hvilken profil Let’s Encrypt udsteder med, og dermed certifikatets levetid. Valget hører til kilden: alle certifikatprofiler, der bruger kilden, får det. Skal I have både lang og kort levetid, opretter I to kilder med hver sin profil: på appliancen med enhver betalt licens, og i sslbrain Cloud som en egen ACME-kilde med Let’s Encrypts adresse, også med enhver betalt licens (Tilføj egen ACME-konto (EAB), hvor Basic kun kan vælge Let’s Encrypt).

Listen er den, Let’s Encrypt selv annoncerer (Let’s Encrypts profiler). Tilføjer Let’s Encrypt en profil, kommer den på listen uden en opdatering af sslbrain. Den 04-10-2026 var det:

Profil	Levetid	Navne pr. certifikat	Common Name
classic (standard)	90 dage, 64 dage fra 10-02-2027	100	Ja
tlsserver	45 dage	25	Nej
shortlived	ca. 6 dage (160 timer)	25	Nej

Har et certifikat flere end 25 navne, udstedes det med classic. Med tlsserver og shortlived genbruges en domænevalidering højst 7 timer, så navnene valideres igen ved næsten hver fornyelse.

På appliancen: åbn kilden under Kilder › Kilder, klik på Redigér alle felter, og vælg ACME-profil (certifikatets levetid). Feltet findes på Certifikatordre via sslbrain Cloud, hvor det gælder, når sslbrain Cloud udsteder fra Let’s Encrypt, og på ACME direkte fra appliance med en Let’s Encrypt-konto.
I sslbrain Cloud: åbn Certifikatkilder, vælg profilen under Let’s Encrypt, og klik på Gem profil. Den gælder Cloud-profilerne, de profiler appliancen henter fra sslbrain Cloud, og ACME-klienter via acme.sslbrain.com.

Licens. Valg af profil kræver Basic, Professional eller Enterprise. Free udsteder med classic. Udløber licensen eller går den ned på Free, bliver valget stående, men kilden udsteder med classic, indtil licensen omfatter det igen. Certifikaterne bliver fortsat udstedt og fornyet, og kilden viser, hvorfor profilen ikke bruges.

Fornyelse. sslbrain fornyer, når Let’s Encrypts fornyelsesvindue (ARI) siger det, og ellers to tredjedele inde i certifikatets levetid, halvvejs for et certifikat under 11 dage: et 90-dages certifikat ca. 30 dage før udløb, et 45-dages 15 dage før og et shortlived-certifikat ca. 3 dage før, som Let’s Encrypts eget fornyelsesvindue for det. Har et certifikat sin egen fornyelsesmargin, følger det den; en margin, der er mindst lige så lang som levetiden, bliver til halvdelen af levetiden.

shortlived kræver fuld automatik. Certifikatet fornyes efter ca. 3 dage, og domænevalideringen skal lykkes hver gang. Brug kun shortlived, hvor reglen selv installerer certifikatet, og hvor DNS-valideringen kører uden hænder (trin 6). Fejler en fornyelse, er der ca. 3 dage til at rette fejlen.

Failover og ændringer hos Let’s Encrypt. Profilen gælder kun Let’s Encrypt. Går en bestilling videre til Google Trust Services, udsteder Google med sin egen standardlevetid, og bestillingen noterer det. Holder Let’s Encrypt op med at tilbyde den valgte profil, udstedes med classic, og kilden viser det.

Interne certifikater fra Windows CA

Kilden Windows CA henter certifikater fra jeres egen Active Directory Certificate Services. Den kræver licensen Enterprise med tilkøbet Windows CA og modulet Windows CA. Opsætningen står i Interne certifikater fra Windows CA.

Certifikater, I selv uploader

Et certifikat fra en anden CA uploades under Certifikater med Upload certifikat.

Formater: PEM, CRT, CER, DER, PFX, P12 og JKS. P7B tages ikke imod. Højst 5 MB pr. fil.
Uden privat nøgle bruges certifikatet kun til overvågning og udløbsdatoer. Udrulning kræver den matchende nøgle.
sslbrain fornyer ikke et uploadet certifikat. Upload den næste udgave med Upload ny version på certifikatet.

Et uploadet certifikat, der ikke hører til et eksisterende certifikat, lægges på profilen Manual upload. Upload fra discovery står i trin 4.

Hvis det fejler

Gratis Auto mangler: profilen oprettes, når licensen aktiveres, og kun når appliancen er forbundet til sslbrain Cloud. Kontrollér forbindelsen.
Profilen viser Ingen kilde kan udstede lige nu: åbn kilden fra linket, og ret fejlen. Se også Fornyelse fejler.
Udstedelsen stopper ved domænevalideringen: se Validering fejler.