Мы настоятельно рекомендуем производить проверку в тестовом окружении, перед тем как использовать рабочий сервер. Это позволит обнаружить проблему еще до выпуска доверенных сертификатов и уменьшит шанс столкнуться с ограничениями по лимиту.
URL-адрес ACME нашего тестового окружения ACME v2:
https://acme-staging-v02.api.letsencrypt.org/directory
Если вы используете Certbot, можете воспользоваться нашей тестовой средой, указав флаг --test-cert или --dry-run. В случае других ACME-клиентов ищите информацию по использованию нашего тестового окружения в их инструкциях.
Обратите внимание, что учетные записи ACME привязаны к конкретной среде, поэтому для тестовой среды требуется отдельная учетная запись. Certbot берет это на себя.
В тестовой (staging) среде действуют те же ограничения частоты запросов, что и описанные для рабочей (production) среды, но с другими значениями:
Общие лимиты запросов следующие:
| Конечная точка | Запросов на IP (в секунду) | Пропускная способность |
|---|---|---|
| /acme/new-nonce | 20 | 10 |
| /acme/new-account | 5 | 15 |
| /acme/new-order | 20 | 40 |
| /acme/revoke-cert | 10 | 100 |
| /acme/renewal-info | 1000 | 100 |
| /acme/* | 20 | 20 |
| /directory | 40 | 40 |
В тестовом окружении имеется своя иерархия сертификатов, повторяющая рабочую. Названия были изменены: к ним добавлен префикс (STAGING) и уникальный идентификатор, чтобы их можно было четко отличить от соответствующих объектов в рабочей среде.
В тестовой среде (staging) имеется четыре активных корневых сертификата — «(STAGING) Pretend Pear X1», «(STAGING) Bogus Broccoli X2», «(STAGING) Yearning Yucca Root YE» и «(STAGING) Yonder Yam Root YR», — которые отсутствуют в хранилищах доверенных сертификатов браузеров или клиентских приложений.
Если вы хотите настроить клиент, предназначенный только для тестирования, так, чтобы он доверял тестовой среде (staging environment), вы можете сделать это, добавив соответствующие сертификаты в хранилище доверенных сертификатов, используемое при тестировании. Важное примечание: Не добавляйте промежуточные или корневые сертификаты из тестовой среды (staging) в хранилище доверенных сертификатов, которое вы используете для обычного просмотра веб-страниц или других повседневных задач. Такие сертификаты не проходят аудит и к ним не предъявляются те же требования, что и к нашим рабочим (production) корневым сертификатам, поэтому их использование для любых целей, кроме тестирования, небезопасно.
O = (STAGING) Internet Security Research Group, CN = (STAGING) Pretend Pear X1RSA 4096O = (STAGING) Internet Security Research Group, CN = (STAGING) Bogus Broccoli X2ECDSA P-384O = ISRG, CN = (STAGING) Yearning Yucca Root YEECDSA P-384O = ISRG, CN = (STAGING) Yonder Yam Root YRRSA 4096В тестовой среде имеются промежуточные сертификаты, имитирующие сертификаты для рабочей среды и выданные на основе указанных выше недоверенных корневых сертификатов. Как и в рабочей среде, не все они используются одновременно. Полный список текущих промежуточных сертификатов:
Эти промежуточные сертификаты могут быть изменены в любой момент; ни одна система не должна полагаться на них или жестко привязываться к ним. В целом можно ожидать, что промежуточные сертификаты в тестовой среде будут соответствовать аналогичным промежуточным сертификатам в рабочей (доверенной) среде. При крайней необходимости полные сведения о сертификате можно получить здесь.
В тестовой среде используется несколько тестовых CT-логов. SCT из этих логов включаются в тестовые (staging) сертификаты. Однако тестовая (staging) среда является только тестовой, и использовать CT для надежного отслеживания сертификатов, выданных в этой среде, нельзя.
В число этих логов входят тестовые логи Let’s Encrypt, а также тестовые логи от других операторов логов прозрачности сертификатов.
Кроме того, могут использоваться некоторые логи ct-test-srv, которые не являются настоящими логами и не хранят выданные сертификаты.
Лимиты тестового окружения достаточны для проведения тестирования, но не подходят для интеграции в среды разработки или непрерывной интеграции (CI). Запросы к внешним серверам снижают стабильность окружения. Кроме того, тестовое окружение не может “подделать” результаты DNS или HTTP-проверок, что усложняет проведение тестирования
В дополнение к тестовому окружению, Let’s Encrypt предлагает ACME-сервер для окружения разработки и CI под названием Pebble. Запуск Pebble на машине разработчика или CI-сервере выполняется быстро и просто.