Vlákno názorů k článku Let's Encrypt komerční certifikáty ze státní správy nevytlačil od Petr Krčmář - V takových situacích se často zapomíná (nebo neví),...

V takových situacích se často zapomíná (nebo neví), že je lepší kontrolovat veřejný klíč v tom certifikátu. Ten se při vystavení nového certifikátu nemusí měnit a Let's Encrypt ho ani ve výchozím stavu nemění. Prostě se jen podepíše ten původní klíč a vystaví se certifikát s novou platností.

Čili když někde potřebuji pinovat nějaký element, je mnohem lepší k tomu využít přímo svůj veřejný klíč, než proměnlivý certifikát.

Vetsina tehlech "postupu" v realu vede k tomu, ze sluzba klidne cele hodiny nefunguje, jen proto ze nekdo nekde se musi neco rucne posolichat.

Další důvod může být to, že někde (celní správa, mfčr u hazardu) každý certifikát oznamují na webu, zveřejní ho tam předem, a (jak jsem pochopil) čekají že druhá strana kontroluje přímo konkrétní certifkát, ne jen root jeho chainu. Nevím jestli to tak dělat "musí" nebo to je jen zvyk, každopádně to asi automatizaci komplikuje.

27. 2. 2025, 08:57 editováno autorem komentáře