Solicitar certificados SSL en ServBay usando ACME

ServBay permite solicitar automáticamente certificados SSL/TLS para tus sitios web de desarrollo local usando el protocolo ACME. ACME (Entorno Automatizado de Gestión de Certificados) es un estándar que automatiza todo el ciclo de vida de los certificados, incluyendo su solicitud, renovación y revocación. A través del panel de administración de ACME que proporciona ServBay, puedes configurar certificados SSL confiables para tus sitios locales de forma fácil y rápida, lo cual es esencial para simular entornos de producción y probar todo lo relacionado con HTTPS.

Por defecto, ServBay utiliza ZeroSSL para emitir certificados, pero también puedes elegir de manera flexible otras entidades de certificación (CA) compatibles con ACME, como Let's Encrypt o Google Trust Services.

TIP

Para garantizar la máxima similitud entre el entorno de desarrollo local y el entorno de producción, es fundamental utilizar certificados SSL confiables. La función ACME de ServBay facilita enormemente este proceso.

Explicación de conceptos clave

Antes de comenzar, es importante comprender algunos conceptos claves para aprovechar al máximo la función ACME de ServBay:

• Protocolo ACME: Un estándar abierto que automatiza la interacción entre las entidades de certificación (CA) y los servidores, permitiendo la solicitud, renovación y gestión de certificados.
• Validación DNS-01 (vía API de DNS): El protocolo ACME admite varios métodos para validar la propiedad del dominio. ServBay utiliza principalmente el método DNS-01, que requiere añadir un registro TXT específico en la configuración DNS del dominio. La CA verifica la existencia y el contenido correcto de dicho registro para comprobar tu control sobre el dominio. Sus ventajas principales son:
  • No requiere que tu entorno de desarrollo local sea accesible a través de internet pública.
  • La verificación puede realizarse incluso si los puertos locales 80/443 están bloqueados por firewall o proveedor de Internet.
• External Account Binding (EAB): Para algunas CA (como Google Trust Services o ZeroSSL), al solicitar un certificado por primera vez mediante el protocolo ACME, es necesario vincular tu cliente ACME (en este caso, el acme.sh integrado en ServBay) con tu cuenta registrada en dicha CA. Esto suele requerir un par de claves: Key ID y HMAC Key.
• Certificados ECC vs RSA:
  • RSA: Algoritmo tradicional, alta compatibilidad, pero requiere claves más largas (2048 o 4096 bits) para mantener la seguridad y supone mayor carga computacional.
  • ECC (Criptografía de Curva Elíptica): Algoritmo moderno, logra el mismo nivel de seguridad con claves más cortas (256 o 384 bits), ofreciendo mejor rendimiento, conexiones más rápidas, menor consumo de ancho de banda y mayor confidencialidad directa. ServBay recomienda por defecto el uso de certificados ECC.

Requisitos previos

La solicitud de certificados ACME en ServBay se realiza mediante la API de DNS, por lo que no es necesario que tu web local sea accesible desde Internet. Antes de solicitar un certificado SSL con ACME, asegúrate de lo siguiente:

1. Tener un dominio: Debes disponer de un dominio registrado y con control sobre los registros DNS.
2. Obtener el API Key del proveedor DNS: Durante el proceso de solicitud ACME, se utilizará la API para añadir o eliminar automáticamente los registros TXT de validación. Por ello, necesitas el API Key o credenciales de tu proveedor de servicios DNS (la plataforma que gestiona el DNS de tu dominio, que no siempre es el registrador). Consulta los proveedores soportados y cómo obtener el API KEY en la Wiki oficial de acme.sh (How to use DNS API, en inglés) y sigue el tutorial correspondiente a tu proveedor.
3. Obtener los datos EAB (si usas Google Trust Services o solicitas por primera vez con ZeroSSL): Si seleccionas Google Trust Services como CA, debes obtener los datos EAB desde Google Cloud. Consulta la documentación oficial (Obtaining EAB credentials from Google Cloud, en inglés). Para ZeroSSL, normalmente también se solicita verificación por correo o API Key al solicitar por primera vez.

Solicitar un certificado SSL mediante ACME en ServBay

Sigue estos pasos para solicitar un certificado SSL para tu entorno de desarrollo en ServBay usando ACME:

1. Abre el panel de administración de ServBay Inicia la aplicación ServBay y accede al panel de administración desde el icono de la barra de menús del sistema o desde el Dock.

2. Navega a la gestión de certificados SSL En el menú lateral izquierdo, haz clic en la opción SSL 证书 ("Certificados SSL").

3. Inicia la solicitud de un nuevo certificado En la esquina superior derecha de la interfaz de gestión de certificados SSL, haz clic en el botón + y selecciona 申请新证书 ("Solicitar nuevo certificado").

4. Configura la información básica del certificado

   • Nombre del certificado: Introduce un nombre identificativo para el certificado (por ejemplo: servbay-demo-ssl).
   • Uso: Selecciona TLS/SSL.
   • Método de solicitud: Selecciona ACME.

5. Selecciona la entidad emisora (CA) En el desplegable de 签发方 ("Entidad emisora"), elige la entidad de certificación que prefieras. Por defecto es ZeroSSL, pero puedes seleccionar Let's Encrypt o Google Trust Services según lo requieras. Aquí usaremos ZeroSSL como ejemplo.

6. Selecciona el proveedor API de DNS En el menú desplegable de DNS API 提供商 ("Proveedor de API DNS") elige la plataforma donde gestionas los registros DNS de tu dominio. En el ejemplo, seleccionamos Cloudflare. Ten en cuenta que esto depende de dónde gestiones realmente tus DNS, que puede ser diferente de tu registrador de dominio.

7. Selecciona el algoritmo y longitud de clave del certificado

   • Algoritmo: Se recomienda dejar el valor por defecto, ECC, por su mejor rendimiento y seguridad. Si necesitas máxima compatibilidad con equipos antiguos, selecciona RSA.
   • Longitud de clave: Si escoges ECC, es suficiente con 384 bits (por defecto). Si optas por RSA, los valores habituales son 2048 o 4096 bits.

8. Introduce la información de validación Según la CA y el proveedor DNS seleccionados, aparecerán los campos necesarios para la verificación.

   • Para ZeroSSL, puede ser necesario indicar tu dirección de correo electrónico.
   • Para la API de Cloudflare, necesitas añadir tu API Key u otros datos de autenticación. Sigue las indicaciones de la Wiki de acme.sh para adaptar la información según tu proveedor.

   WARNING

   Atención: Solo pega el valor del API Key o la clave secreta, no incluyas el prefijo del comando shell como export en el cuadro de texto.

9. Configura el dominio En el campo 域名 ("Dominio"), introduce el dominio para el cual solicitas el certificado (por ejemplo: servbay.demo o *.servbay.demo). Si usas comodines (como *.servbay.demo), verifica que tu proveedor DNS los soporte para la gestión automática de registros TXT.

10. Inicia la solicitud Tras asegurarte de que los datos son correctos, haz clic en el botón 请求 ("Solicitar"). ServBay usará la herramienta integrada acme.sh para verificar automáticamente el dominio mediante la API DNS proporcionada y solicitar el certificado a la CA.

La solicitud puede tardar unos minutos, dependiendo de la propagación DNS y respuesta de la CA. Puedes comprobar el progreso en los registros o en la lista de certificados de ServBay. Al completar exitosamente, el nuevo certificado aparecerá en la lista SSL 证书.

Cancelar una solicitud en curso

Durante la solicitud ACME, el botón 请求 ("Solicitar") cambiará a 停止申请 ("Detener solicitud"). Si la operación tarda demasiado (por ejemplo, por propagación DNS lenta o datos incorrectos), puedes hacer clic en 停止申请 para cancelar el proceso de acme.sh, corregir los datos y reintentarlo, sin esperar a que expire por sí mismo.

Opciones avanzadas: espera por propagación DNS y omitir la auto-verificación DNS

Por defecto, al solicitar el certificado, acme.sh añade los registros TXT y realiza una auto-verificación local antes de notificar a la CA. Sin embargo, en algunas redes (por ejemplo, si tu DNS local está secuestrado, utilizas fake-ip, o la resolución local difiere de la pública), esa verificación local puede fallar o quedarse bloqueada, aunque el TXT esté correcto en internet.

Para estos casos, ServBay ofrece opciones adicionales en la interfaz de solicitud:

• Tiempo de espera (segundos): Configura el tiempo (por defecto 120 segundos) que ServBay esperará tras añadir el registro TXT, permitiendo la propagación global de los cambios DNS antes de notificar a la CA.
• Omitir auto-verificación DNS: Si está activado, acme.sh no harás la verificación local. Al expirar el tiempo especificado, envía la solicitud directamente a la CA. Útil si el DNS local es poco fiable (por ejemplo, con fake-ip) y la auto-verificación te impide progresar.

TIP

En la mayoría de entornos locales con DNS funcionando correctamente, puedes dejar estos parámetros en sus valores por defecto. Activa "Omitir auto-verificación DNS" solo si el TXT es válido públicamente pero la validación local nunca funciona, y prueba aumentando el tiempo de espera.

Usar el certificado en la configuración del sitio en ServBay

Una vez solicitado el certificado ACME, puedes aplicarlo a cualquiera de los sitios configurados en ServBay:

1. Abre el panel de ServBay y navega a la sección 网站 ("Sitios").
2. Selecciona el sitio al que quieres añadir SSL y haz clic en el botón de editar (icono de lápiz) a la derecha.
3. En la página de configuración del sitio, localiza la opción SSL 证书 ("Certificado SSL").
4. Selecciona, en el desplegable, el nuevo certificado ACME que solicitaste.
5. Asegúrate de activar el interruptor 启用 SSL ("Habilitar SSL").
6. Guarda la configuración. El sitio debería estar accesible ahora vía HTTPS.

Renovación de certificados ACME

Los certificados emitidos por ACME (como los de Let's Encrypt o ZeroSSL) suelen tener una validez de 90 días. Para asegurar una conexión HTTPS ininterrumpida, es imprescindible renovar el certificado antes de su expiración.

ServBay monitorea automáticamente la vigencia de los certificados solicitados mediante ACME. Cuando la expiración se acerca, intentará renovar automáticamente el certificado usando la información de DNS API previamente configurada.

En condiciones normales, mientras las credenciales DNS sigan siendo válidas y el servicio de DNS funcione, no necesitas hacer nada manualmente. ServBay gestiona la renovación en segundo plano por ti.

Preguntas frecuentes (FAQ) y resolución de problemas

• Solicitud fallida - error en la validación de DNS:
  • Revisa cuidadosamente que las credenciales de la API DNS estén correctas y tengan permisos para modificar registros TXT.
  • Verifica que el proveedor de API DNS seleccionado en ServBay sea el que realmente gestiona tu dominio.
  • Recuerda que la propagación de DNS puede demorar minutos u horas. Intenta la solicitud nuevamente más tarde.
  • Comprueba que escribiste bien el nombre del dominio.
  • Si el TXT está bien en la red pública pero la auto-verificación local nunca pasa (muy común con fake-ip o DNS local modificado), activa la opción "Omitir auto-verificación DNS" y aumenta el tiempo de espera siguiendo las instrucciones anteriores ("Opciones avanzadas").
• Solicitud fallida - errores relacionados con EAB:
  • Si usas Google Trust Services o ZeroSSL por primera vez, asegúrate de haber obtenido y rellenado correctamente los datos EAB.
  • Si ya lo lograste antes pero ahora falla, puede que tus datos EAB hayan expirado o no sean válidos, obtén unos nuevos.
• Solicitud fallida - límite de tasa alcanzado (Rate Limit):
  • Las entidades emisoras establecen límites para la cantidad de certificados por dominio o IP en un intervalo de tiempo. Si has solicitado muchos certificados en poco tiempo, espera unas horas o días para volver a intentarlo.
• Certificado emitido con éxito, pero el navegador indica que el sitio no es seguro:
  • Asegúrate de que en la configuración del sitio en ServBay seleccionaste el nuevo certificado y activaste SSL.
  • Prueba limpiar caché del navegador o usar modo incógnito.
  • Revisa la configuración de tu archivo Hosts local o cualquier otro parámetro de red para confirmar que apunta correctamente a ServBay.
• ¿Cuándo intenta ServBay renovar automáticamente los certificados? ServBay suele iniciar el proceso de renovación automática un cierto número de días antes de la expiración (por ejemplo, 30 días). Mientras la aplicación esté activa y haya conexión a internet, la renovación se realizará en segundo plano.

Resumen

ServBay ofrece una potente funcionalidad ACME fácil de usar, permitiendo a los desarrolladores gestionar y solicitar certificados SSL/TLS confiables para sus sitios locales de desarrollo mediante la API DNS. Esto no solo simplifica la configuración de certificados, sino que también ayuda a simular entornos de producción con HTTPS, permitiendo un desarrollo y pruebas más realistas y efectivos.

Esperamos que esta guía te ayude a configurar certificados SSL en ServBay usando ACME y a mejorar tu experiencia de desarrollo local.