TLS automático

El TLS es uno de los puntos que más fricción operativa genera —emisión, renovación, recarga sin downtime—. Tero Services lo resuelve de punta a punta para que no tengas que pensar en certificados.

Qué hace

Emite y renueva certificados TLS de Let’s Encrypt automáticamente para cada dominio configurado, usando el desafío HTTP-01. No necesitás ejecutar Certbot, preocuparte por la fecha de expiración ni reiniciar nada para que la renovación tenga efecto.

Cuándo usarlo

Siempre que el dominio tenga DNS público apuntando al proxy. Es el modo por defecto para dominios en proxy HTTP.

Cómo se configura

Una vez que la ruta del dominio está creada en el proxy:

1. Apuntá el registro A/AAAA del dominio a la dirección IP pública del proxy.
2. Esperá la propagación DNS (usualmente minutos; verificá con dig o nslookup).
3. El proxy detecta la primera solicitud HTTP, completa el desafío HTTP-01 y emite el certificado.

Durante esa primera ventana puede haber unos segundos de respuesta degradada para nuevas conexiones HTTPS. Las renovaciones siguientes son transparentes.

Renovación

• El proxy chequea la expiración periódicamente (intervalo configurado por Host Admin, valor por defecto 24 horas).
• Renueva cuando faltan ~30 días para vencer.
• Si la renovación falla (DNS cambió, dominio no responde al desafío), Host Admin queda alertado y el certificado actual sigue sirviéndose hasta acercarse al vencimiento.

Limitaciones

• Comodines NO soportados. HTTP-01 no permite *.dominio.com. Si necesitás un certificado comodín, contactá al equipo: se gestiona por DNS-01 fuera del flujo automático.
• Puerto 80 alcanzable. Si tu cortafuegos bloquea el puerto 80 desde Internet, el desafío HTTP-01 falla.
• Sin DNS público apuntando al proxy, no hay emisión. No se pueden emitir certificados para dominios que no resuelven a la dirección IP del proxy.

Preguntas frecuentes

• ¿Puedo traer mi propio certificado? Sí, contactá al equipo. Se sube certificado + clave y queda gestionado igual que los automáticos.
• ¿Soportan múltiples nombres en un solo certificado (SAN)? No es necesario: cada dominio recibe su propio certificado. SNI selecciona el correcto.