El certificado estará vinculado a uno o varios nombres de dominio, por ejemplo: subdominio.unex.es. La misma persona que solicitó la entrada DNS debe cursar la petición del certificado SSL vinculado a ese nombre de dominio; así tendremos la seguridad de que el certificado será utilizado por la misma persona que es legítima concesionaria del nombre de servidor.

En el proceso de gestión del certificado habrá tres elementos implicados:

• Clave privada del servidor a la que aplicaremos el principio de mínimo privilegio, exponiendo esta al menor número de personas y sistemas.
• CSR (Certificate Signing Request): Petición de solicitud del certificado firmada con la clave privada.
• Certificado SSL y cadena de certificación. Desde el Servicio de Informática de la UEx te facilitaremos dos ficheros para su instalación en el servidor.

Pasos para solicitar el certificado SSL

1. Generar la CSR (Certificate Signing Request).

Si no tiene experiencia con la gestión de certificados SSL, la parte más complicada puede ser generar la CSR. Aquí y aquí puedes encontrar información sobre cómo generarla en distintos entornos.

Recuerda, en ningún caso la clave privada asociada (archivo.key) debe salir de su entorno de uso, es decir, de su servidor.

En un sistema Linux/UNIX, normalmente podrás hacerlo con una orden como esta:

openssl req -new -newkey rsa:2048 -nodes -out subdominio_unex_es.csr \
-keyout subdominio_unex_es.key \
-subj "/C=ES/ST=Extremadura/L=Badajoz/O=Universidad de Extremadura/OU=Centro, Servicio, Departamento/CN=subdominio.unex.es"

Esta orden creará (o sobrescribirá) la clave privada subdominio_unex_es.key. En caso de querer reutilizar una clave privada previamente existente (no recomendado), especifícala con el parámetro -key en lugar de -keyout_:

openssl req -new -nodes -out subdominio_unex_es.csr> \
-key subdominio_unex_es.key \
-subj "/C=ES/ST=Extremadura/L=Badajoz/O=Universidad de Extremadura/OU=Centro, Servicio, Departamento/CN=subdominio.unex.es"

Atención: Nunca confíes en un proveedor de certificados que ofrezca generar la CSR o la clave privada por ti. Es una mala práctica de seguridad.

2. Solicitar la emisión del certificado.

Accede con los datos de tu correo de la UEx (nombre de usuario y contraseña)  al Centro de Atención al Usuario de la UEx y abre un tique. En él debes adjuntar tu CSR e indicar el correo para las notificaciones del certificado en cuestión.

«Categoría TIC -> Gestión de identidades -> Gestión de certificados»

 

3. Esperar a recibir el certificado.

El personal del Servicio de Informática de la UEx generará el certificado usando la CSR adjunta, y te facilitará los archivos para su instalacion en servidor en el misma incidencia abierta en CAU de la solicitud.

4. Instalación del certificado

Dependiendo del sistema operativo y del tipo de certificados necesitaras unos archvos u otros.

Puedes buscar ayuda, si es la primera vez que instalas, en la plataforma de Harica para cada caso. El siguiente enlace por ejemplo es para un Apache, pero puedes encontrar en las librerias de ayuda cada uno de los casos:

https://www.sectigo.com/resource-library/install-certificates-apache-open-ssl