Certificats TLS

Les certificats HTTPS que le Hub présente, leur échéance, et le renouvellement à la demande.

Voir l'élément dans l'écran : dns/certificates

Explication

Pour chaque nom qu'il sert en HTTPS, le Hub présente un certificat : la preuve, signée par Let's Encrypt, que le site est bien celui qu'il prétend être. Un certificat vit 90 jours.

Le Hub les obtient seul, par le protocole ACME, avec une validation DNS-01 : il pose un enregistrement TXT _acme-challenge.<nom> dans la zone du domaine, Let's Encrypt le lit, puis le Hub retire le TXT. Aucun port n'a besoin d'être ouvert pour cela, et les certificats wildcard (*.exemplia.example) deviennent possibles.

Les certificats sont rangés dans Vault et chargés à chaud par le serveur web du Hub : pas de redémarrage.

Le renouvellement est automatique. Une fois par jour, le Hub renouvelle chaque certificat à qui il reste 30 jours ou moins. Cet écran sert à surveiller, et à forcer la main quand il le faut.

Fiche complète

Ce que l'écran appelle

GET /hub/dns/certs → deux actions :

1. acme_worker.list_certificates : les certificats rangés dans Vault, avec leurs dates ;
2. dns_sync_worker.list_records : pour remplir la liste « Domaine » du formulaire.

Réponse de list_certificates

{ "count": 2, "certificates": [
    { "domain": "admin.exemplia.example", "notBefore": "2026-10-01", "notAfter": "2026-12-30",
      "daysRemaining": 62, "expiringSoon": false } ] }

Cycle automatique

acme_worker tourne toutes les 24 h. Seuil de renouvellement : soclehub.acme.renewal-days-before, 30 jours par défaut. Si le certificat du domaine du Hub n'a pas pu être obtenu au démarrage, le cycle le redemande.

Par l'API ou par un agent

acme_worker.check_expiry (domain) donne l'échéance d'un seul certificat. acme_worker.force_check_all répond « check_all_initiated » mais, sur le Hub 3.77.0, ne lance aucune vérification : constaté dans le code, la méthode ne fait que rendre ce message.