ACME НУЦ

https://habr.com/ru/articles/1053232/
Судя по статье, у нас появился таки ACME сервис выпуска DV сертификатов.
Но, @#$%, как всегда, всё максимально через жопу. Инструкция в проприетарном
.docx формате (через docx2txt достал текст). Ссылка на acme.sh программу
ведёт на... .rar архив. Вот какого хера? Ну что за люди там работают? И
какого чёрта RSA, ведь на дворе уже половина 2026-го года прошла. Плюс
их ACME сервер только на IPv4 есть.

Но решил попробовать проверить работает ли в целом это всё? Никогда с
ACME не имел дела. Взял первое попавшееся: lego, написанное на Go. Завёл
отдельный домен. Попробовал через DNS challenge. В сети где это делал,
запрещён DNS во вне, поэтому пришлось --dns.propagation.disable-ans
--dns.propagation.disable-rns опции добавить. Но обломалось всё на:

    obtain certificate: resolver: one or more domains had a problem:
        [XXX.stargrave.org: authorization[get]: empty URL]"

Понятия не имею что это значит. Ладно, пробую через HTTP, ожидая что он
положит мне файлик challenge, который скопирую на сервер. Но ещё до этого
падает с такой же ошибкой что и выше.

Нет желания разбираться у кого проблемы (у lego или же Восхода).
Распространённым инструментом не вышло с их сервером договориться.

Решил посмотреть и на сайт НУЦа. Без JS не работает. Ладно, ВМ, JS, ради
любопытства. При поиске сертификата, пока я набираю имя домена, он
вписывает его в URL моего обозревателя. А значит кнопка "назад" будет
вести на ссылку без одной буквы, и так снова и снова! Какие придурки всё
это пишут? Я просто негодую от того, что простейшие сайты люди уже
разучились писать. Неюзабельное говнище.

Сертификаты все с разными расширениями. Кто-то в PEM, кто-то в Base64
голом. Для отображения информации о сертификате явно используется
OpenSSL или что-то подобное, добавляющее нулевой байт к серийному
номеру. Но, не на всех страницах, где то без этого несуществующего байта.

Скачал CRL-и для корневого и подчинённого. И... они оба протухшие! Один
аж в конце прошлого года. Нет уж, если УЦ выпускает CRL, то он обязан
его выпускать и предоставлять актуальный, пускай его содержимое будет
пустым. То есть, по факту, их УЦ просто не работающий: по честному его
сертификаты не могут быть проверены, так как CRL не актуальны. Фиаско.

Вообще с Восходом то я знаком давно. И ничего положительного не скажу.
Теоретически могло даже дойти до подачи судебного иска от меня на них
(деталей не будет). Удручающая ситуация, что до сих пор этой компании
отданы важные задачи. Причём там абсолютно все специалисты уволились
которых мы знали и кто ещё был сколько-то толковым. Политика, деньги,
интриги, тёрки.

комментарий 0:

From: Yarik Sysoev
Date: 2026-07-03 11:30:51Z

Импортозамещение начали с аутентичного юзер-экспириенса :)

Меня LE тоже задолбал порядком, но скорее по техническим причинам, чем
политическим. По неизвестной мне причине certbot мало того, что требует
периодически обновления (ведь это такая технически сложная задача -
подключиться к серверу LE, получить челендж на создание файла и
попросить LE проверить - создался ли!), так он ещё и в какой-то момент
насовсем перестал работать на малинке. (при этом работает, если
запустить с ноута в той же сети). А когда я всё-таки проверил вручную с
ноута - мне ответило, что я исчерпал число запросов и ничего мне не
дадут до таймаута (будто за предыдущие 10 запросов что-то дали). В
другой раз запрашивал в одной сессии продление для 4444.moe и сразу для
box.4444.moe/cam.4444.moe, прислали только для первых двух потому что...
я не знаю?...

Такими темпами скорее уже забью на это дело и просто на самоподписанные
сертификаты перейду.

 >А значит кнопка "назад" будет вести на ссылку без одной буквы, и так
снова и снова! Какие придурки всё это пишут?

Господи, да! Есть хоть кто-то, кого это тоже бесит. У этой медали есть
ещё вторая сторона - когда весь сайт впихивают в одну страницу. Из-за
чего когда рефлекторно нажимаешь хоткей для возврата на прошлую
страницу, тебя с сайта полностью выбрасывает.

комментарий 1:

From: Sergey Matveev
Date: 2026-07-03 11:38:57Z

*** Yarik Sysoev [2026-07-03 14:30]:
>Меня LE тоже задолбал порядком, но скорее по техническим причинам [...]

А я никогда в жизни ACME не пользовался. Единственный опыт это вот с
Восходовским сертификатом, где дальше не пошло.

>Такими темпами скорее уже забью на это дело и просто на самоподписанные
>сертификаты перейду.

Поддерживаю :-). Хотя я за использование не просто self-signed, а со
своим CA, чтобы не каждый сайт был независимой точкой доверия, а чтобы
хотя бы одна была. Впрочем, и с чисто self-issued я тоже не вижу проблем
*практических*.

>Господи, да! Есть хоть кто-то, кого это тоже бесит.

Даже не представляю как это может не бесить кого-то :-)
Разве что, если человек в принципе не видел никогда работы штатного
обозревателя, нормальных сайтов.

>У этой медали есть ещё вторая сторона - когда весь сайт впихивают в одну страницу.

Single page application, да. Ломает, как правило, весь функционал что
штатно обозреватель представлял (история, прокрутка, поиск). Если не
ломает, то значит внутри SPA тьма кода реализующая всё это.

>Из-за чего когда
>рефлекторно нажимаешь хоткей для возврата на прошлую страницу, тебя с сайта
>полностью выбрасывает.

Во-во!