WinFAS API - krok 5 - nastavení https certifikátu
Související rozcestníky | Hlavní rozcestník | Zprovoznění WinFAS API - rozcestník | << Předchozí krok | Následující krok >>
Pro běžný provoz musí být WinFAS API zpřístupněno prostřednictvím HTTPS a to jak pro použití v interní síti, tak i v případě použití přes internet. Z toho důvodu je nutné vytvoření důvěryhodného certifikátu. Níže uvedený návod popisuje jak certifikát získat přes službu Let's Encrypt. Pokud využíváte jinou certifikační autoritu, můžete certifikát vytvořit přes ni.
API používané pouze v interní síti
- Je možné použít certifikát vydaný interní certifikační autoritou organizace, například prostřednictvím Active Directory Certificate Services (AD CS). Zařízení používající API musí této certifikační autoritě důvěřovat.
- Postup vytvoření certifikátu vydaného interní certifikační autoritou NENÍ součástí tohoto návodu.
API dostupné z internetu (návod níže)
- Použijte důvěryhodný veřejný TLS certifikát pro zvolený DNS název. Lze využít například bezplatný certifikát Let’s Encrypt.
Certifikát následně přiřaďte k HTTPS vazbě webu WinFAS API v IIS a zajistěte jeho pravidelné obnovování.
5.1 Stažení nástroje WIN-ACME
- Instalační soubor stáhněte z následujícího odkazu:
https://www.win-acme.com/
5.2 Postup instalace WIN-ACME
-
Stažený ZIP archiv rozbalte do trvalého umístění. Nepoužívejte dočasnou složku, protože WIN-ACME bude z tohoto umístění následně spouštěn také pomocí Plánovače úloh při automatické obnově certifikátu.
- Doporučené umístění je:
%ProgramFiles%win-acme - Ve vytvořené složce spusťte soubor wacs.exe
5.3 Postup instalace nového certifikátu
-
Před zahájením instalace certifikátu ověřte, že:
- zvolený DNS název, například wfapi.vasefirma.cz, směřuje na server s WinFAS API,
- server je pro ověření domény dostupný z internetu na portu 80 (HTTP),
- nástroj WIN-ACME spouštíte s oprávněním správce.
Dostupnost na portu 80 je nutná pro zvolený způsob ověření domény
http-01. Stejným způsobem probíhá také ověření při budoucí automatické obnově certifikátu. - V průběhu instalace budete dotázáni na několik odpovědí. Níže v textu jsme zvýraznili doporučené (vyzkoušené) odpovědi.
-
A simple Windows ACMEv2 client (WACS)
Software version 2.2.9.1701 (release, trimmed, standalone, 64-bit)
Connecting to https://acme-v02.api.letsencrypt.org/...
Connection OK!
Scheduled task not configured yet
Please report issues at https://github.com/win-acme/win-acme- N: Create certificate (default settings)
M: Create certificate (full options)
R: Run renewals (0 currently due)
A: Manage renewals (0 total)
O: More options...
Q: Quit
Please choose from the menu: stiskněte klávesu M
Running in mode: Interactive, Advanced
Please specify how the list of domain names that will be included in the
certificate should be determined. If you choose for one of the "all bindings"
options, the list will automatically be updated for future renewals to
reflect the bindings at that time.- 1: Read bindings from IIS
2: Manual input
3: CSR created by another program
C: Abort
How shall we determine the domain(s) to include in the certificate?: stiskněte klávesu 2
Description: A host name to get a certificate for. This may be a comma-separated list.
Host: wfapi.vasefirma.cz
Source generated using plugin Manual: wfapi.vasefirma.cz
Friendly name '[Manual] wfapi.vasefirma.cz'. to accept or type desired name:
By default your source identifiers are covered by a single certificate. But
if you want to avoid the 100 domain limit, want to prevent information
disclosure via the SAN list, and/or reduce the operational impact of a single
validation failure, you may choose to convert one source into multiple
certificates, using different strategies.- 1: Separate certificate for each domain (e.g. *.example.com)
2: Separate certificate for each host (e.g. sub.example.com)
3: Separate certificate for each IIS site
4: Single certificate
C: Abort
Would you like to split this source into multiple certificates?: stiskněte klávesu Enter
The ACME server will need to verify that you are the owner of the domain
names that you are requesting the certificate for. This happens both during
initial setup *and* for every future renewal. There are two main methods of
doing so: answering specific http requests (http-01) or create specific dns
records (dns-01). For wildcard identifiers the latter is the only option.
Various additional plugins are available from
https://github.com/win-acme/win-acme/.- 1: [http] Save verification files on (network) path
2: [http] Serve verification files from memory
3: [http] Upload verification files via FTP(S)
4: [http] Upload verification files via SSH-FTP
5: [http] Upload verification files via WebDav
6: [dns] Create verification records manually (auto-renew not possible)
7: [dns] Create verification records with acme-dns (https://github.com/joohoi/acme-dns)
8: [dns] Create verification records with your own script
9: [tls-alpn] Answer TLS verification request from win-acme
C: Abort
How would you like prove ownership for the domain(s)?: stiskněte klávesu Enter
After ownership of the domain(s) has been proven, we will create a
Certificate Signing Request (CSR) to obtain the actual certificate. The CSR
determines properties of the certificate like which (type of) key to use. If
you are not sure what to pick here, RSA is the safe default.- 1: Elliptic Curve key
2: RSA key
C: Abort
What kind of private key should be used for the certificate?: stiskněte klávesu Enter
When we have the certificate, you can store in one or more ways to make it
accessible to your applications. The Windows Certificate Store is the default
location for IIS (unless you are managing a cluster of them).- 1: IIS Central Certificate Store (.pfx per host)
2: PEM encoded files (Apache, nginx, etc.)
3: PFX archive
4: Windows Certificate Store (Local Computer)
5: No (additional) store steps
How would you like to store the certificate?: stiskněte klávesu Enter
- 1: [WebHosting] - Dedicated store for IIS
2: [My] - General computer store (for Exchange/RDS)
3: [Default] - Use global default, currently WebHosting
Choose store to use, or type the name of another unlisted store: stiskněte klávesu Enter
- 1: IIS Central Certificate Store (.pfx per host)
2: PEM encoded files (Apache, nginx, etc.)
3: PFX archive
4: Windows Certificate Store (Local Computer)
5: No (additional) store steps
Would you like to store it in another way too?: stiskněte klávesu Enter
With the certificate saved to the store(s) of your choice, you may choose one
or more steps to update your applications, e.g. to configure the new
thumbprint, or to update bindings.- 1: Create or update bindings in IIS
2: Start external script or program
3: No (additional) installation steps
Which installation step should run first?:
This plugin will update *all* binding using the previous certificate in both
Web and FTP sites, regardless of whether those bindings were created manually
or by the program itself. Therefor you'll never need to run this installation
step twice.During initial setup, it will try to make as few changes as possible to IIS
to cover the source identifiers. If new bindings are needed, by default it
will create those at the same site where the HTTP binding for that host was
found.- 2: WinFAS API
Choose site to create new bindings: stiskněte klávesu 2Po spuštění iunstalátoru se objeví:
- 1: Create or update bindings in IIS
2: Start external script or program
3: No (additional) installation steps
Add another installation step?: stiskněte klávesu Enter
Terms of service: C:\ProgramData\win-acme\acme-v02.api.letsencrypt.org\LE-SA-v1.8-July-06-2026.pdf
- Open in default application? (y/n*) - stiskněte klávesu Enter
- Do you agree with the terms? (y*/n) - stiskněte klávesu Enter
Enter email(s) for notifications about problems and abuse (comma-separated): jmeno@vasefirma.cz
Plugin Manual generated source wfapi.vasefirma.cz with 1 identifiers
Plugin Single created 1 order
[wfapi.vasefirma.cz] Authorizing...
[wfapi.vasefirma.cz] Authorizing using http-01 validation (SelfHosting)
[wfapi.vasefirma.cz] Authorization result: valid
Downloading certificate [Manual] wfapi.vasefirma.cz
Store with CertificateStore...
Installing certificate in the certificate store
Adding certificate [Manual] wfapi.vasefirma.cz @ 2026.9.11 in store WebHosting
Adding certificate CN=YR1, O=Let's Encrypt, C=US in store CA
Adding certificate CN=Root YR, O=ISRG, C=US in store CA
Installing with IIS...
Adding new https binding *:443:wfapi.vasefirma.cz
Committing 1 https binding changes to IIS while updating site 2
Adding Task Scheduler entry with the following settings
- Name win-acme renew (acme-v02.api.letsencrypt.org)
- Path C:\Program Files\win-acme
- Command wacs.exe --renew --baseuri "https://acme-v02.api.letsencrypt.org/"
- Start at 09:00:00
- Random delay 04:00:00
- Time limit 02:00:00- Do you want to specify the user the task will run as? (y/n*) - stiskněte klávesu Enter
Adding renewal for [Manual] wfapi.vasefirma.cz
Next renewal due after 2026.11.5
Certificate [Manual] wfapi.vasefirma.cz created- N: Create certificate (default settings)
M: Create certificate (full options)
R: Run renewals (0 currently due)
A: Manage renewals (1 total)
O: More options...
Q: Quit
Please choose from the menu: stiskněte klávesu Q
- N: Create certificate (default settings)
5.4 Obnovení certifikátu
-
Součástí postupu v kapitole 5.3 je vytvoření úlohy v Plánovači úloh Windows, prostřednictvím které WIN-ACME pravidelně kontroluje platnost certifikátu a podle potřeby provádí jeho automatickou obnovu.
-
Po dokončení instalace doporučujeme v Plánovači úloh ověřit, že byla vytvořena úloha win-acme renew.
-
Pro automatickou obnovu musí zůstat zachováno umístění programu WIN-ACME a server musí být schopen znovu provést ověření domény stejným způsobem jako při prvním vydání certifikátu.
<< Předchozí krok | Následující krok >>
Zpět na rozcestník Zprovoznění WinFAS API - rozcestník