Directivele certFile și keyFile în OpenLiteSpeed

keyFile /etc/letsencrypt/live/exemplu.ro/privkey.pem
certFile /etc/letsencrypt/live/exemplu.ro/fullchain.pem
caCertFile /etc/ssl/certs/ca-certificates.crt

Ce face Directivele certFile și keyFile

Pentru a activa criptarea HTTPS, OpenLiteSpeed are nevoie de calea exactă către cheia privată (keyFile) și certificatul public X.509 (certFile).

Directivele pot fi definite la nivel de Listener (pentru certificatul implicit) sau în fiecare Virtual Host în secțiunea SSL (pentru suport SNI cu certificate separate per domeniu).

Pentru certificatele emise de Let’s Encrypt sau Certbot, certFile trebuie să pointeze întotdeauna către fullchain.pem (care conține atât certificatul domeniului, cât și certificatele intermediare).

Opțiuni și argumente

Opțiune / Parametru	Descriere
keyFile <cale>	Calea absolută către cheia privată RSA sau ECDSA (.pem sau .key).
certFile <cale>	Calea absolută către certificatul public complet (fullchain.pem).
caCertFile <cale>	Calea către certificatul autorității de certificare (opțional dacă este inclus în fullchain).

Ce returnează

Inițializarea contextului OpenSSL pentru conexiuni criptate.

Exemple

Exemplul 1: Configurarea SSL pentru un vHost în vhost.conf

Specifică certificatele Let’s Encrypt pentru domeniul respectiv.

vhssl {
  keyFile                  /etc/letsencrypt/live/magazin.ro/privkey.pem
  certFile                 /etc/letsencrypt/live/magazin.ro/fullchain.pem
  certChain                1
  sslProtocol              30
}

Greșeli frecvente

• Folosirea cert.pem în loc de fullchain.pem, provocând avertismente de securitate ‘Incomplete Certificate Chain’ pe dispozitivele mobile Android și iOS.
• Permisiuni prea laxe pe fișierul privkey.pem (acesta trebuie să fie protejat și accesibil doar utilizatorului root sau grupului lsws).

Comenzi înrudite

• Directiva sslProtocol: Selectează versiunile de protocoale criptografice TLS permise pentru negociere.
• Directiva ciphers: Stabilește lista algoritmilor de criptare simetrică și asimetrică acceptați de server.
• Automatizare SSL cu acme.sh: Utilitarul recomandat oficial de LiteSpeed pentru emiterea și reînnoirea automată a certificatelor Let’s Encrypt.