Steg 7 av 8

7. Välj var certifikaten kommer ifrån

En certifikatprofil avgör var ett certifikat kommer ifrån. Använd profilen Gratis Auto för ert första certifikat. Appliancen har skapat den själv, och ni väljer den i installationsplanen i steg 8.

Profiler och källor

Profilerna finns under Konfiguration › Certifikatutfärdande › Profiler. En profil provar sina källor uppifrån. Kan den första inte leverera provas nästa.

Gratis Auto, märkt Startprofil: Let’s Encrypt och därefter Google Trust Services via sslbrain Cloud. Skapas på appliancen när licensen aktiveras.
Default, märkt Från sslbrain Cloud: Let’s Encrypt och därefter Google Trust Services. Appliancens eget certifikat använder den (steg 3).
FairSSL ACME med gratis backup, märkt Från sslbrain Cloud: FairSSL och därefter Let’s Encrypt och Google Trust Services (FairSSL).

En profil märkt Från sslbrain Cloud ändras i sslbrain Cloud och kan inte redigeras eller tas bort på appliancen.

Skapa en profil

Operatörer och administratörer kan skapa och redigera profiler och källor.

Öppna Profiler och klicka på Skapa certifikatprofil.
Ge profilen ett Namn, till exempel Web och wildcard.
Klicka på Lägg till under Certifikatkällor vid varje källa som profilen ska använda. Flytta dem med pilarna. Ordningen är den ordning de provas i.
Välj Prioriterad lista failover under Val mellan källor.
Välj Default nyckeltyp. Den används av certifikat som inte själva väljer nyckeltyp.
Klicka på Skapa profil.

Gratis certifikat med Gratis Auto

Gratis Auto ger gratis DV-certifikat och kostar inga units. Standardnyckeln är ECDSA P-384.

Appliancen skapar nyckeln och CSR:en. Under utfärdandet stannar den privata nyckeln på appliancen, och bara CSR:en skickas vidare. Nyckeln skickas till en server först när en installationsplan installerar certifikatet (export av privata nycklar). Domänvalideringen sker med er CNAME-vidarebefordran eller DNS-API-uppgift från steg 6.

Byter ni namn på profilen eller tar bort den skapar sslbrain den inte igen.

Certifikat från FairSSL

FairSSL-certifikat beställs av installationsplanen genom profilen. Ingenting behöver beställas för hand i sslbrain Cloud.

Be FairSSL att koppla ert sslbrain Cloud-konto till ert FairSSL-konto.
sslbrain Cloud skapar profilen FairSSL ACME med gratis backup, och den kommer själv över till appliancen.
Välj profilen i installationsplanen i steg 8.

DigiCert-certifikat via FairSSL kräver posten _dnsauth.<domän> (CNAME-vidarebefordran).

Produkter som kostar units betalas med units som ni köper i sslbrain Cloud under Licenser og units (units). Källan Certifikatorder via sslbrain Cloud visar under Produkter vilka produkter kontot kan få.

Källor och ordning

Källorna finns under Källor › Källor. Nya källor skapas med Lägg till källa:

Certifikatorder via sslbrain Cloud: signerad certifikatorder genom sslbrain Cloud. Den privata nyckeln stannar på appliancen.
ACME direkt från appliance: appliancen talar själv ACME med en CA på ert eget ACME-konto. Färdiga att använda är Let’s Encrypt, Google Trust Services, ZeroSSL, Sectigo, GlobalSign Atlas, SSL.com, DigiCert Trust Lifecycle och FairSSL ACME, och ni kan skriva adressen till en annan ACME-server. Kräver CA:n EAB (External Account Binding) skriver ni de två EAB-värdena från CA:n.
Windows CA: certifikat från er egen AD CS (Windows CA).
MitID: VOCES-, FOCES- och MOCES-certifikat från MitID Erhverv. Kräver modulen MitID.
Manuell uppladdning av certifikat: certifikat som ni själva laddar upp (uppladdning).

Certifikat som en serviceagent hittar i Windows certifikatarkiv på en server kan importeras i sslbrain (Certifikat på servrarna).

Profilen hoppar över en källa som är i fel, inte kan utfärda certifikatets nyckeltyp eller saknar en påslagen produkt som täcker namnen. Ett tillfälligt fel provas en gång till på samma källa. Varje förnyelse börjar från toppen av listan.

En ägare eller administratör kan stoppa en källa från sslbrain Cloud på den här appliancen med Blockera på den här appliancen. Bara administratörer kan ta bort en källa.

Livstid: Let’s Encrypt-profilen på källan

En Let’s Encrypt-källa väljer vilken profil Let’s Encrypt utfärdar med, och därmed certifikatets livstid. Valet hör till källan: alla certifikatprofiler som använder källan får det. Behöver ni både lång och kort livstid skapar ni två källor med var sin profil: på appliancen med varje betald licens, och i sslbrain Cloud som en egen ACME-källa med Let’s Encrypts adress, också med varje betald licens (Lägg till eget ACME-konto (EAB), där Basic bara kan välja Let’s Encrypt).

Listan är den som Let’s Encrypt själv annonserar (Let’s Encrypts profiler). Lägger Let’s Encrypt till en profil kommer den med i listan utan en uppdatering av sslbrain. Den 04-10-2026 var det:

Profil	Livstid	Namn per certifikat	Common Name
classic (standard)	90 dagar, 64 dagar från 10-02-2027	100	Ja
tlsserver	45 dagar	25	Nej
shortlived	cirka 6 dagar (160 timmar)	25	Nej

Har ett certifikat fler än 25 namn utfärdas det med classic. Med tlsserver och shortlived återanvänds en domänvalidering högst 7 timmar, så namnen valideras igen vid nästan varje förnyelse.

På appliancen: öppna källan under Källor › Källor, klicka på Redigera alla fält och välj ACME-profil (certifikatets livstid). Fältet finns på Certifikatbeställning via sslbrain Cloud, där det gäller när sslbrain Cloud utfärdar från Let’s Encrypt, och på ACME direkt från appliancen med ett Let’s Encrypt-konto.
I sslbrain Cloud: öppna Certifikatkällor, välj profilen under Let’s Encrypt och klicka på Spara profil. Den gäller Cloud-profilerna, de profiler appliancen hämtar från sslbrain Cloud och ACME-klienter via acme.sslbrain.com.

Licens. Val av profil kräver Basic, Professional eller Enterprise. Free utfärdar med classic. Går licensen ut eller ned till Free ligger valet kvar, men källan utfärdar med classic tills licensen omfattar det igen. Certifikaten utfärdas och förnyas som vanligt, och källan visar varför profilen inte används.

Förnyelse. sslbrain förnyar när Let’s Encrypts förnyelsefönster (ARI) säger det, och annars två tredjedelar in i certifikatets livstid, halvvägs för ett certifikat under 11 dagar: ett 90-dagarscertifikat cirka 30 dagar före utgång, ett 45-dagars 15 dagar före och ett shortlived-certifikat cirka 3 dagar före, som Let’s Encrypts eget förnyelsefönster för det. Har ett certifikat en egen förnyelsemarginal följer det den; en marginal som är minst lika lång som livstiden blir halva livstiden.

shortlived kräver full automatik. Certifikatet förnyas efter cirka 3 dagar, och domänvalideringen måste lyckas varje gång. Använd shortlived bara där regeln själv installerar certifikatet och DNS-valideringen körs utan handpåläggning (steg 6). Misslyckas en förnyelse finns cirka 3 dagar att rätta felet.

Failover och ändringar hos Let’s Encrypt. Profilen gäller bara Let’s Encrypt. Går en beställning vidare till Google Trust Services utfärdar Google med sin egen standardlivstid, och beställningen noterar det. Slutar Let’s Encrypt erbjuda den valda profilen utfärdas med classic, och källan visar det.

Interna certifikat från Windows CA

Källan Windows CA hämtar certifikat från er egen Active Directory Certificate Services. Den kräver licensen Enterprise med tillägget Windows CA och modulen Windows CA. Konfigurationen beskrivs i Interna certifikat från Windows CA.

Certifikat som ni laddar upp själva

Ett certifikat från en annan CA laddas upp under Certifikat med Ladda upp certifikat.

Format: PEM, CRT, CER, DER, PFX, P12 och JKS. P7B tas inte emot. Högst 5 MB per fil.
Utan privat nyckel används certifikatet bara för övervakning och utgångsdatum. Utrullning kräver den matchande nyckeln.
sslbrain förnyar inte ett uppladdat certifikat. Ladda upp nästa utgåva med Ladda upp ny version på certifikatet.

Ett uppladdat certifikat som inte hör till ett befintligt certifikat läggs på profilen Manual upload. Uppladdning från discovery beskrivs i steg 4.

Om det inte fungerar

Gratis Auto saknas: profilen skapas när licensen aktiveras, och bara när appliancen är ansluten till sslbrain Cloud. Kontrollera anslutningen.
Profilen visar Ingen källa kan utfärda just nu: öppna källan från länken och rätta felet. Se även Förnyelsen misslyckas.
Utfärdandet stannar vid domänvalideringen: se Valideringen misslyckas.