Este guia explica como descarregar ou exportar um certificado SSL a partir do painel de controlo Infomaniak.

Introdução

• O download do certificado gera um arquivo no formato .zip.
• O arquivo contém os arquivos .key e .crt (bem como _windows.pfx e .protected.key, dependendo do tipo de certificado):
  
• Recomenda-se armazenar este certificado e a sua chave privada num local seguro, pois esta última poderá permitir o acesso aos seus dados encriptados.

Exportar ou descarregar um certificado SSL

Para aceder à gestão dos seus certificados:

1. Clique aqui para aceder à gestão do seu produto no painel de controlo Infomaniak (precisa de ajuda?):
   
2. Filtre os tipos de certificado, se necessário, clicando no ícone correspondente.
3. Visualize os diferentes tipos de certificados, como Let's Encrypt, Sectigo DV & EV...
4. Adicione os certificados que devem ser exibidos.
5. Aplique os filtros:
   
6. A tabela exibe apenas os tipos de certificados que você selecionou.

Exportar um certificado Let's Encrypt

1. Clique diretamente no nome atribuído ao certificado Let's Encrypt na lista:
   
2. Clique no menu de ação ⋮ à direita do item correspondente na tabela que é exibida.
3. Selecione Exportar certificado e siga as instruções para baixar o arquivo para o seu dispositivo:
   

Exportar um certificado Sectigo

1. Clique diretamente no nome atribuído ao certificado na lista de certificados.
2. Clique no botão Gerenciar.
3. Clique em Descarregar o certificado e siga as instruções para descarregar o arquivo no seu dispositivo:
   

This guide explains how to add or modify one or more CAA records in the DNS zone (of a domain name) managed on the Manager Infomaniak.

Preamble

• A CAA record allows you to specify a certification authority authorized to issue certificates for a domain.

Add a CAA

To manage this type of record in a DNS zone:

1. Click here to access the management of your domain on the Infomaniak Manager (need help?).
2. Click directly on the name assigned to the domain concerned.
3. Click on DNS Zone in the left sidebar.
4. Click the button to add a record:
   
5. Click on the radio button CAA to add a record.
6. Click on the Next button:
   
7. Enter the CAA values required for your DNS zone: if you are validating an SSL certificate, refer to the information below.
8. Save your information by clicking on the button at the bottom of the page.

Adding CAA to validate an SSL certificate...

... Sectigo

In the case of an SSL certificate validation Sectigo, follow the generic guide but specifically enter the following data:

• Choose “Issue for certification authority”.
• Enter the flag: 0.
• Specify sectigo.com.

... Let's Encrypt

In the case of a Let's Encrypt SSL certificate validation, follow the generic guide but specifically enter the following data:

• Choose “Issue for certification authority”.
• Enter the flag: 0.
• Specify letsencrypt.org.

This guide explains how to correctly interpret the detailed information provided by Qualys SSL Labs (https://www.ssllabs.com/ssltest/) which can sometimes seem technical or alarming without the appropriate context.

Preamble

• Qualys SSL Labs is a widely used analysis tool to evaluate the SSL/TLS configuration of websites.
• The warnings in their reports are often just technical details with no impact on the site's security or SEO.

Multiple certificates in SSL Labs reports

When SSL Labs analyzes a site, it may display several numbered certificates (certificate #1, certificate #2, etc.). This happens for several reasons:

1. Main certificate (#1): The certificate presented when SNI (Server Name Indication) is used.
   • SNI is a TLS extension that allows a server to host multiple SSL certificates for different domains on the same IP address. When a browser connects, it indicates the domain name it wishes to join.
2. Secondary certificate (#2): The certificate presented when SNI is not used or during a direct IP connection.

An indication "No SNI" in certificate #2 is not an error. It simply means that SSL Labs has tested what happens when a client connects without providing SNI information. In this case:

• The server provides a fallback certificate (often a generic or preview certificate).
• This situation only affects very outdated clients that do not support SNI.
• Modern browsers all use SNI and will therefore receive certificate #1.

Certificate chain issues

"Chain issues: Incorrect order, Extra certs, Contains anchor"

These warnings do not necessarily mean that the certificate is defective:

• Incorrect order: Intermediate certificates are not presented in the optimal order.
• Extra certs: Unnecessary additional certificates are included.
• Contains anchor: The root certificate is included in the chain.

The TLS protocol allows omitting the root certificate as it is normally already present in the browsers' certificate stores. Including it is not an error, but a redundancy.

"Alternative names mismatch"

For the rescue certificate (#2), the warning "MISMATCH" is normal because:

• This certificate is designed for another domain (preview.infomaniak.website).
• It is only presented when SNI is not used.
• The browser receiving this certificate would identify it as not matching the requested domain, but this does not affect normal connections with SNI.

Regarding SEO concerns:

• Google and other search engines use modern browsers that support SNI.
• They receive certificate #1, which is valid for your domain.
• Warnings about certificate #2 have no impact on SEO.
• Only issues with the main certificate (#1) could affect SEO.

This configuration is perfectly suited for shared hosting where multiple sites share the same infrastructure, with a preview certificate serving as a fallback solution.

This guide explains how to generate and automatically renew a wildcard certificate via a DNS challenge using Certbot and the dns-infomaniak plugin.

1. Installation of required tools

The Infomaniak DNS plugin is not included by default. To avoid the plugin does not appear to be installed error, install certbot and its extension by following the official instructions.

Make sure to select the tab Wildcard on the Certbot website after choosing your system.

2. Initial manual generation

Run this command to start the first generation of the certificate:

certbot certonly --manual \
-d *.example.com \
--preferred-challenges dns-01 \
--server https://acme-v02.api.letsencrypt.org/directory

3. DNS challenge validation (TXT Record)

To prove that you own the domain, go to your Infomaniak Manager and create the following TXT record:

• Name: _acme-challenge
• Value: (the one provided by the Certbot command)

4. Preparing the Infomaniak API

To automate the process, generate an API token with the domain scope in your management interface. This token will allow the script to automatically update your DNS.

5. Authentication script (infomaniak-auth.sh)

Create the file /root/infomaniak-auth.sh. This script will be called by Certbot during renewal:

#!/bin/bash
# API Token for Infomaniak
INFOMANIAK_API_TOKEN="YOUR_API_TOKEN_HERE"
# Update DNS record via Infomaniak API plugin
/usr/bin/certbot \
  --authenticator dns-infomaniak \
  --server https://acme-v02.api.letsencrypt.org/directory \
  -d "$CERTBOT_DOMAIN" \
  --agree-tos

Make the script executable:

chmod +x /root/infomaniak-auth.sh

6. Cleanup script (infomaniak-clean.sh)

Create the file /root/infomaniak-clean.sh to finalize the procedure:

#!/bin/bash
# Optional: Cleanup operations after challenge
exit 0

Make the script executable:

chmod +x /root/infomaniak-clean.sh

7. Automatic renewal configuration

Edit or create the following configuration file: /etc/letsencrypt/renewal/example.com.conf.

cert = /etc/letsencrypt/live/example.com/cert.pem
privkey = /etc/letsencrypt/live/example.com/privkey.pem
chain = /etc/letsencrypt/live/example.com/chain.pem
fullchain = /etc/letsencrypt/live/example.com/fullchain.pem
[renewalparams]
authenticator = manual
manual_auth_hook = /root/infomaniak-auth.sh
manual_cleanup_hook = /root/infomaniak-clean.sh
server = https://acme-v02.api.letsencrypt.org/directory
pref_challs = dns-01
account = YOUR_ACCOUNT_ID
key_type = rsa

8. Testing and Automation (Cron)

Before automating, verify that everything works correctly with a simulation:

certbot renew --dry-run

If the test is successful, add this Cron task to check renewal every X days:

0 0 */30 * * /usr/bin/certbot renew --quiet --config /etc/letsencrypt/renewal/example.com.conf

Modify 30 days above according to the desired frequency. The cron will automatically use:

• the file domain.tld.conf
• the authentication script infomaniak-auth.sh
• the plugin dns-infomaniak

This guide explains how…

1. … generate a CSR and private key to request a third-party certificate from a certification authority (CA),
2. … import this certificate for your Infomaniak site, using the CRT obtained from the CA.

Preamble

• Although Infomaniak offers all the SSL certificates you might need…
  • free Let's Encrypt certs for personal sites (only possible with sites hosted by Infomaniak),
  • DV certs from Sectigo for professional/personal sites that are not registered in the trade register,
  • EV certs from Sectigo for companies registered in the trade register,
• … it is also possible to install an SSL certificate obtained elsewhere (intermediate certificate from a certification body of your choice), custom or self-signed certificates.

1. Generate a CSR (Certificate Signing Request)

A CSR (Certificate Signing Request or Certificate Signing Request) is an encoded file containing the information necessary to request an SSL/TLS certificate.

It must be generated on your side to ensure that the private key remains under your control, using OpenSSL, for example.

Adapt and run the following command from a Terminal type application (command line interface, CLI / Command Line Interface) on your device:

openssl req -utf8 -nodes -sha256 -newkey rsa:2048 -keyout domain.xyz.key -out domain.xyz.csr -addext "subjectAltName = DNS:domain.xyz, DNS:www.domain.xyz"

Explanations

• newkey rsa:2048: Generates a new 2048-bit RSA key.
• keyout domain.xyz.key: Specifies the file where the private key will be saved.
• out domain.xyz.csr: Specifies the file where the CSR will be recorded.
• addext “subjectAltName = ...”: Adds additional domains via the SAN (Subject Alternative Name) extension, necessary to include all desired domains in the certificate (main domain domain.xyz + any other associated domain or subdomain, such as www.domain.xyz).

After generation, you can check the contents of the CSR with the following command:

openssl req -in domain.xyz.csr -noout -text

This allows you to verify that all domains listed in subjectAltName are correctly included.

Once the CSR is generated, you can send it to the certification authority (CA) to obtain your SSL/TLS certificate.

2. Import the external certificate

Once validated, the CA issues a certificate (domain.xyz.crt) and sometimes an intermediate certificate (ca_bundle.crt).

To access SSL certificate management:

1. Click here to access your site management on the Infomaniak Manager (need help?).
2. Click directly on the name assigned to the site concerned:
   
3. Click on SSL Certificates in the left sidebar menu.
4. Click the blue button Install a certificate:
   
5. Choose the custom certificate.
6. Click the Next button:
   
7. Import your certificate and private key, either by importing the .crt and .key files or by copy-pasting.
8. Click Complete:
   

Alternative command to generate a self-signed certificate (optional)

If you want a local certificate only for testing or without going through a CA (not recommended for production), you can use this command:

openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout domain.xyz.key -out domain.xyz.crt -addext “subjectAltName = DNS:domain.xyz, DNS:www.domain.xyz”

This generates both a self-signed certificate (domain.xyz.crt) and a private key (domain.xyz.key). However, self-signed certificates are not recognized as valid by public browsers or systems. They are only suitable for internal or development environments.

Import an intermediate certificate

When adding a custom SSL certificate, it is possible to import the intermediate certificate (by importing the .crt file or copy-pasting the data provided by the certification authority):

This guide explains how to generate a certificate signing request (CSR) for a domain name and all its subdomains with a Web Hosting (excluding free hosting of type Starter), thus allowing you to encrypt the connection to your domain name and all its subdomains via a single SSL certificate.

Preamble

• The configuration allows for a "named site" and a "backup site"; to ensure this works without conflict, make sure that the wildcard and your specific subdomains do not overlap on the same web hosting:
  • DNS Level the priority is natural: if a specific subdomain exists (e.g., private.domain.xyz), it is the one that is requested; otherwise, the request is redirected to the wildcard (*.domain.xyz).
  • Server Level it is necessary to be vigilant: if the wildcard and the specific subdomain are on the same server, it is the software implementation (Apache) that decides; Apache processes requests according to the evaluation order of the configuration files.
  • The risk: if the wildcard is evaluated first, it "captures" all the traffic, making your specific subdomain inaccessible, even if it exists elsewhere.
  • Therefore, do not place the wildcard on the same hosting as a more specific overlapping subdomain.

Setting up a Wildcard Certificate

1. Add an alias domain with an asterisk *

To add an alias of type * to your website:

1. Click here to access the management of your site on the Infomaniak Manager (need help?).
2. Click directly on the name assigned to the site concerned:
   
3. Click on the chevron ‍ to expand the Domains section of this site.
4. Click on the Add a Domain button:
   
5. Enter the domain name to be added in this form:
   • *.domain.xyz (the asterisk is mandatory, followed by a dot, then the domain name of the website which is domain.xyz in this example)
6. Click on the Confirm button to complete the procedure:
   

2. Install or update an SSL certificate

Example of updating the existing certificate to include the * wildcard subdomain:

1. Click here to access the management of your site on the Infomaniak Manager (need help?).
2. Click directly on the name assigned to the site concerned.
3. Click on SSL Certificate in the left sidebar menu.
4. Click on the action menu ⋮ located on the right.
5. Click on Update the certificate:
   
6. Make sure the recently added subdomain is selected.
7. Click on the Install button at the bottom:
   
8. Wait for the creation or update to complete.

Este guia explica como instalar um certificado SSL gratuito do Let's Encrypt em um site hospedado pela Infomaniak.

Introdução

• Após a instalação do certificado, seu site será acessível via http e https…
  • Se necessário, redirecione automaticamente todos os seus visitantes para o site https seguro.
• Se você deseja incluir um nome de domínio alternativo recentemente adicionado ao seu site que já possuía um certificado, é necessário atualizá-lo.
• Para vários subdomínios, consulte este outro guia.
• O Let's Encrypt limita a instalação de certificados para:
  • 100 subdomínios
  • 20 certificados em 7 dias por domínio registrado
  • 5 tentativas malsucedidas por conta por nome de host por hora

Instalar um certificado SSL gratuito em um site

Pré-requisitos

• Para que a instalação seja possível, os DNS do nome de domínio devem estar corretamente configurados para apontar para o site em questão.
• Se uma alteração foi feita recentemente nesse nível, algumas operações podem não funcionar imediatamente.

Para acessar os sites e instalar um certificado SSL:

1. Clique aqui para acessar o gerenciamento do seu site no Manager Infomaniak (precisa de ajuda?).
2. Clique no menu de ação ⋮ localizado à direita do site em questão.
3. Clique em Instalar um certificado SSL:
   
4. Escolha o certificado gratuito.
5. Clique no botão Seguinte:
   
6. Verifique ou selecione os domínios em questão.
7. Clique no botão Instalar:
   
8. Aguarde alguns minutos até que o certificado seja obtido no site.

This guide suggests solutions to resolve common issues and frequent errors that may occur when you try to display your website in https after activating an SSL certificate.

The web browser automatically displays the http version of the site when you try to access it in https

It is recommended to perform the following actions:

• Clear the cache of your applications or your site.
• Check that the pages and scripts of the site do not contain redirects to the http version of the site.
• Check that the site's .htaccess file does not contain redirects to the http version of the site.
• Set the site's https address as the default one:
  • with WordPress Infomaniak
  • for other cases

The website is displayed incorrectly (missing images, unsupported stylesheets, etc.) or displays a warning in the address bar

It is recommended to perform the following actions:

• Clear the cache of your applications or your site.
• Check that the pages and scripts do not point to external resources in http; the site whynopadlock.com can help you identify the unsecured elements of your site.
• Also refer to this other guide on this subject.

"This web page presents a redirection loop", "ERR_TOO_MANY_REDIRECTS"

If your web browser displays this error, it is recommended to perform the following actions:

• If the site works with a web application like WordPress or Joomla, disable the extensions one by one to identify the problematic one.
• Check that the pages and scripts of the site do not contain redirects to the http version of the site.
• Try to disable HSTS.
• If Prestashop is used, SSL must be activated on all pages:
  1. Add your SSL domain:
     • Go to Preferences > SEO & URLs.
     • In the "Store URL" section, enter your site's address in the "SSL Domain" field (without the https://, just www.domain.xyz).
  2. Activate SSL:
     • Go to Preferences > General settings.
     • At the top of the page, click on "Click here to use the HTTPS protocol before activating SSL mode."
     • A new page will open with your site in the secure HTTPS version.
  3. Force the use of SSL on the entire site:
     • Go back to Preferences > General settings.
     • Set the "Enable SSL" option to YES.
     • Also set "Force the use of SSL for all pages" to YES.

An old SSL certificate is displayed - clear the SSL cache

Web browsers cache SSL certificates to speed up navigation. Normally, this is not a problem. However, when you develop pages for your website or install a new certificate, the browser's SSL state can hinder you. For example, you might not see the padlock icon in the browser's address bar after installing a new SSL certificate.

The first thing to do in this case is to make sure that the domain points to the server's IP address (A and AAAA records) and if it is still the wrong SSL certificate that is returned, clear the SSL cache:

• Chrome: go to Settings and click on Settings. Click on Show advanced settings. Under Network, click on Change proxy settings. The Internet Properties dialog box appears. Click on the Content tab. Click on Clear SSL state, then click OK. Refer to other leads in this other guide.
• Firefox: go to History. Click on Clear Recent History then select Active Connections and click on Clear Now.

Loss of CSS formatting

If the website displays without CSS style, analyze page loading with the browser Console. There may be mixed content errors (mixed content) related to your styles .css, which you will need to resolve for them to be loaded correctly again.

Cloudflare

If you are using Cloudflare, refer to this other guide on the subject.

Este guia explica como desinstalar um Certificado SSL, independentemente do seu tipo, que foi instalado inicialmente através do painel de controlo Infomaniak. Se o seu certificado for do tipo pago e pretender cancelar a subscrição em vez de desinstalá-lo, consulte este outro guia.

Remover um certificado SSL

Para desinstalar um certificado Infomaniak:

1. Clique aqui para acessar o gerenciamento do seu certificado SSL no Manager Infomaniak (precisa de ajuda?).
2. Clique diretamente no nome atribuído ao produto em questão:
   
3. Clique no menu de ações ⋮ localizado à direita do item em questão.
4. Clique em Desinstalar:
   
5. Confirme a desinstalação do certificado.

Este guia detalha as condições e o procedimento para obter um certificado SSL EV da Sectigo através da Infomaniak.

Introdução

• Os certificados SSL com validação estendida (EV) são exclusivamente para organizações, empresas e entidades legalmente registradas junto a uma autoridade governamental reconhecida (como um registro comercial).
  • Os certificados DV da Sectigo e da Let's Encrypt não estão sujeitos a esta restrição.
  • Comparar os certificados SSL disponíveis
• Em caso de dificuldades durante a validação de um certificado DV ou EV, consulte este outro guia.

Procedimento de validação dos certificados EV

A obtenção de um certificado SSL EV pode levar até 24 horas e depende da exatidão das informações fornecidas pelo cliente.

Este procedimento é renovado em intervalos regulares (consulte este outro guia para mais detalhes), independentemente da duração da assinatura escolhida para o certificado.

1. Verificação dos dados da empresa

Os dados incluídos no certificado devem ser previamente verificados junto de uma fonte independente:

• Razão social (nome legal) ou nome comercial
• Forma jurídica
• Endereço físico da sede
• Código postal
• Région / Canton / Département
• País / Código do país

Pontos de atenção:

• A razão social deve corresponder escrupulosamente àquela inscrita no registo comercial; o pedido só poderá ser processado se o nome estiver oficialmente registado.
• Apenas o nome legal ou o nome da marca seguido do nome legal entre parênteses é permitido [ex: Nome comercial (Nome legal)]. Para entidades sem razão social distinta, o nome comercial pode ser utilizado.
• O uso de uma simples caixa postal é proibido; é necessário um endereço físico.

Tendo em conta estes requisitos, por vezes é necessário apresentar um novo pedido com dados corrigidos no CSR. A Infomaniak poderá também solicitar a sua aprovação para alterar as informações transmitidas durante o pedido.

2. Verificação dos dados no diretório WHOIS

O diretório WHOIS lista as informações do proprietário de um nome de domínio. Esses dados devem corresponder obrigatoriamente às informações fornecidas durante o pedido do certificado SSL EV.

Para atualizar as informações WHOIS de um domínio:

• Se o seu domínio for gerenciado pela Infomaniak, consulte este outro guia.
• Se o seu domínio for gerido por outro fornecedor, contacte o seu registrador atual.

3. Assinatura do contrato e validação final

Após a finalização do pedido do certificado EV, a pessoa de contato designada receberá um e-mail da autoridade de certificação Sectigo contendo os seguintes documentos:

• O formulário de pedido de certificado
• O contrato de adesão

Estes documentos estão preenchidos previamente. A validação é efetuada online através de um código de verificação transmitido oralmente por um sistema de chamada automatizado da Sectigo (geralmente a partir do número holandês +31 88 775 77 77).

A chamada é efetuada para o número de telefone oficialmente registado no registo comercial.

Cada pedido de certificado é sujeito a uma validação telefónica, incluindo para renovações e reemissões de certificados multidomínio.

4. Verificação do domínio (apenas sites externos)

Esta etapa confirma que você tem controle sobre o domínio em questão (caso ele não esteja hospedado na Infomaniak — os domínios que apontam para sites hospedados na Infomaniak são validados automaticamente).

Cada domínio ou subdomínio deve ser aprovado individualmente, seguindo um dos métodos descritos neste outro guia.

Este guia detalha as condições e o procedimento para utilizar um certificado Sectigo Infomaniak num site alojado noutro local, junto de um fornecedor de alojamento terceirizado.

Introdução

• Você tem a possibilidade de usufruir das tarifas vantajosas da Infomaniak para seus certificados SSL, mesmo gerenciando seus sites em outro provedor de hospedagem.

Instalar um certificado Sectigo

Devido aos diferentes fornecedores, a instalação do seu certificado não será automática:

1. Obter o CSR

Exporte o arquivo de configuração CSR do seu provedor de hospedagem e insira-o no formulário de pedido do seu certificado na Infomaniak.

2. Confirmar a propriedade do domínio

Valide os domínios incluídos no certificado através de um dos seguintes métodos:

• Insira um código de validação recebido em um dos seguintes endereços de e-mail (o endereço de e-mail completo deve existir no domínio a ser validado, por exemplo, “domain.xyz”):
  • admin@domain.xyz
  • administrator@domain.xyz
  • hostmaster@domain.xyz
  • postmaster@domain.xyz
  • webmaster@domain.xyz
• Criação de um registo CNAME único nos DNS do domínio.
• Ficheiro txt de validação a carregar via FTP no seu site.

Este guia explica as principais diferenças entre um certificado EV e um certificado DV.

Certificados SSL EV: para empresas

O certificado SSL EV da Sectigo só pode ser emitido para empresas registradas em um cadastro oficial.

Ele garante o mais alto nível de confiança para seus clientes e oferece vantagens exclusivas, além de incluir os benefícios de um certificado DV:

• cadeias na barra de navegação
• selo de site seguro dinâmico
• validação do seu nome de domínio
• autenticação manual das informações de contato e da identidade da sua empresa
• garantia de até 1.750.000 dólares para os utilizadores finais
• suporte 7/7

A ativação de um certificado SSL EV pode demorar até 24 horas e exigirá ações da sua parte.

Certificados SSL DV: para empresas e particulares

O certificado DV da Sectigo está disponível para pessoas físicas e jurídicas. Ele não inclui alguns dos benefícios mencionados acima, mas oferece vantagens adicionais em comparação com os certificados SSL gratuitos do Let's Encrypt:

• selo de site seguro dinâmico
• validação do seu nome de domínio
• garantia de até 10.000 dólares para usuários finais
• suporte 7/7

A ativação de um certificado SSL DV é imediata.

E os certificados Let's Encrypt?

Um certificado gratuito do Let's Encrypt garante o mesmo nível de criptografia que um certificado EV ou DV. No entanto, os certificados do Let's Encrypt não oferecem os seguintes benefícios:

• validação manual das informações de contato e da autenticidade da sua empresa (EV)
• garantia para os usuários finais em caso de fraude (EV/DV)
• suporte em caso de dúvidas

Em resumo, os certificados do Let's Encrypt garantem a criptografia das comunicações entre seus usuários e seu site, mas não asseguram aos usuários da internet que eles estão em um site legítimo cuja identidade foi autenticada por uma autoridade de certificação.

The Sectigo guarantee is a financial commitment from Sectigo, the Certification Authority (CA), aimed at protecting the end user.

It applies only if the user suffers a financial loss due to a validation error by Sectigo when issuing the certificate.

It does not cover security vulnerabilities in your server or misconfigurations on your part.

The higher the validation level (DV < OV < EV), the higher the amount of the Sectigo guarantee is generally.

Thank you for choosing Infomaniak to secure your sites with a Sectigo EV or DV SSL certificate.

Main SSL guides

• Order a Sectigo EV SSL certificate
• Understand the difference between EV and DV certificates
• Use a Sectigo certificate on an external site (other host)
• Understand the Sectigo guarantee for SSL certificates
• Resolve an SSL/https issue
• Install a free Let's Encrypt SSL certificate on a site
• Install a free 'wildcard' SSL certificate
• Uninstall an SSL certificate
• Update a Let's Encrypt SSL certificate (for example after adding/removing aliases)

Additional help

• Learn about all SSL FAQs
• Contact Infomaniak support

This guide explains how to cancel a paid SSL certificate. If your certificate is a Let's Encrypt (free) certificate, please refer to this other guide.

Introduction

• For most products, confirm the cancellation request by email; otherwise, no data will be deleted.
• Any fees incurred and exceeding the included services remain due.
• A cancellation confirmation is sent to any other administrators of the Organization.

SSL Cancellation Procedure

To access the cancellation process:

1. Click here to access the management of your certificate in the Infomaniak Manager (need help?).
2. Click on the action menu ⋮ located to the right of the item in question.
3. Choose Cancel:
   
4. Follow the procedure to the end.

Este guia explica como adicionar um selo de confiança dinâmico em um site seguro com um certificado SSL da Sectigo.

Introdução

• A Infomaniak, enquanto provedor de hospedagem, oferece certificados SSL para proteger os sites dos seus clientes.
• A Sectigo (anteriormente conhecida como Comodo) é um fornecedor de certificados SSL reconhecido que oferece diferentes níveis de segurança.
• O "selo de confiança dinâmico", ou "Selo de Confiança Sectigo" / "Logotipo de Confiança Sectigo", é um elemento visual que os proprietários de sites podem exibir em suas páginas para indicar aos visitantes que a conexão é segura, um sinal de confiança que informa os usuários de que as transações e o intercâmbio de informações realizadas no site são criptografados e protegidos por um certificado SSL emitido pela Sectigo.
• Ao utilizar um certificado SSL da Sectigo e exibir o selo de confiança dinâmico, um site hospedado na Infomaniak beneficia não apenas da segurança no intercâmbio de dados, mas também de um aumento da confiança dos usuários, o que é essencial no comércio eletrônico e para a proteção de informações pessoais.

Adicionar um selo de confiança

Veja como funciona um selo de confiança dinâmico:

1. Validação: para obter esse selo, o proprietário do site deve primeiro obter um certificado SSL válido da Sectigo, o que requer um processo de validação. Dependendo do nível do certificado escolhido (Validação de Domínio – DV, Validação de Organização – OV ou Validação Estendida – EV), essa validação pode ser mais ou menos aprofundada.
2. Instalação: após obter e instalar o certificado SSL no servidor web da Infomaniak, o site poderá estabelecer conexões seguras via HTTPS.
3. Exibição do selo: Sectigo fornece um código HTML ou um script que o proprietário do site pode integrar ao seu site; este código permite exibir o selo de confiança dinâmico da Sectigo.
4. Atualização: o selo é frequentemente atualizado em tempo real para refletir a situação atual do certificado SSL; se o certificado expirar ou for revogado, o selo também refletirá isso, alertando os visitantes sobre o fato de o site não estar mais seguro.
    

O selo de confiança é composto por uma imagem e um código HTML.Este último funciona apenas se um certificado Sectigo estiver instalado no site e, nesse caso, gera um logotipo interativo que exibe os dados do certificado.

Salve uma das imagens abaixo

Clique com o botão direito do mouse na imagem que deseja salvar e, em seguida, clique em Salvar imagem como...

• Pequeno
• Médio
• Grande

Carregar a imagem no seu site

Envie a imagem para o seu servidor web (via FTP ou o seu CMS) e anote o URL de acesso a essa imagem para a próxima etapa (por exemplo, https://domain.xyz/wp-content/uploads/sectigo.png).

Obtenha o código para integrar nas suas páginas

Insira o endereço completo da sua imagem na página https://www.trustlogo.com/install/index2.html para verificar se a imagem está acessível.

Clique no botão Continuar na mesma página para obter os dois códigos que devem ser copiados e colados no cabeçalho da sua(s) página(s) web:

Importante:

• No código, CL1 corresponde a um certificado SSL DV; substitua CL1 por SC5 para um certificado SSL do tipo EV.

This guide details the validity rules for EV and DV SSL certificates, following the latest directives from the cybersecurity sector.

Validity period of SSL certificates

At the initiative of the CA/B Forum (which brings together major Web players such as Apple, Google, and Mozilla) and in order to strengthen overall security of exchanges, the maximum validity period of SSL certificates has been reduced. As of mid-March 2026, any new certificate issued by Sectigo has a maximum validity period of 200 days (approximately 6 months), compared to 397 days previously.

This shortening of the certificate lifecycle aims to limit risks related to hacking and to ensure that company identity information is verified more frequently. This change does not affect the price or the commitment period of your product.

Sectigo SSL DV certificates

For SSL DV (Domain Validation) certificates, Infomaniak ensures automatic renewal every 6 months (the new certificate is generated during the month preceding its expiration).

• If your site is hosted with Infomaniak: the installation of the new certificate is completely transparent and automatic.
• If your site is hosted outside of Infomaniak: you will need to manually reinstall the certificate on your server with each renewal (every 6 months).

Sectigo SSL EV certificates

Due to their higher level of security, SSL EV (Extended Validation) certificates require manual validation of the company every 6 months, regardless of the subscription period chosen.

• This procedure involves a new verification of your data and a validation call (as described in this other guide).
• As with DV certificates, manual reinstallation is imperative if the certificate is used on a server external to Infomaniak.

Este guia explica como resolver um problema de instalação de certificado SSL (Let's Encrypt ou Sectigo) se você estiver usando o Cloudflare com regras de segurança rigorosas, como filtragem por país ou endereços IP.

Ajustar as configurações de SSL / geobloqueio

Quando um certificado SSL é solicitado através da Infomaniak (Let's Encrypt gratuito ou Sectigo), a autoridade de certificação deve verificar se você é o proprietário do domínio. Essa verificação pode ser feita por HTTP (através de arquivos especiais colocados no seu site), DNS ou e-mail:

• Let's Encrypt utiliza /.well-known/acme-challenge/.
• Sectigo geralmente utiliza /.well-known/pki-validation/ (ou DNS/e-mail, dependendo da opção escolhida).

Se essas verificações falharem (por exemplo, porque o Cloudflare bloqueia o acesso), o certificado não poderá ser emitido ou renovado. Além disso, o Let's Encrypt não verifica mais apenas a partir de um único local. Há algum tempo (e ainda mais desde março de 2024), ele realiza suas verificações a partir de vários países simultaneamente – incluindo novos países como a Suécia ou Singapura. Consequentemente, se um desses países estiver bloqueado pelas suas configurações do Cloudflare, a solicitação do certificado poderá falhar, mesmo que todo o resto esteja configurado corretamente.

O pior é que, mesmo que tente criar uma exceção apenas para o endereço do desafio (.well-known/acme-challenge), isso pode não funcionar com algumas regras do Cloudflare. De fato, as regras de bloqueio por país ou por endereço IP são aplicadas antes de qualquer exceção baseada em caminhos de URL.

Ajustar o modo SSL/TLS

No Cloudflare, utilize o modo Full ou Full (strict). Esses modos toleram temporariamente um certificado expirado ou autoassinado, enquanto a validação é concluída:

Permitir os caminhos de validação

Evite as "Regras de Acesso por IP" que bloqueiam e prefira as "Regras Personalizadas" que autorizam sem restrições os seguintes caminhos:

• /.well-known/acme-challenge/ (Let's Encrypt)
• /.well-known/pki-validation/ (Sectigo)

Desativar temporariamente o bloqueio geográfico

Se necessário, desative temporariamente o bloqueio geográfico ou por endereço IP durante o processo de validação e, em seguida, reative suas proteções após a emissão ou renovação do certificado.

This guide explains how to add two different EV or DV SSL Certificates to the same site.

Preamble

• Since it is not possible to install two SSL certificates on the same site, it is necessary to create two identical sites.

Creation of the second site

Prerequisites

• Remove any potential alias domain name from your site.

To access the Web Hosting to add a site:

1. Click here to access the management of your product on the Infomaniak Manager (need help?).
2. Click directly on the name assigned to the product in question.
3. Click on the button Add a site:
   
4. Continue without installing a tool:
   
5. Click on Apache and choose the same PHP version as the main site::
   
6. Choose between using a domain name or a subdomain.
7. Enter the domain or subdomain name.
8. Click on Advanced options.
9. Activate (or not) the Let's Encrypt SSL certificate on the future site.
10. Check the box Manually define the location.
11. Choose the same location as the main site:
    
12. Click on the blue button Next to start the site creation.

Install the SSL certificate

Once the second site is created (any addition/modification can take up to 48 hours to propagate), you will be able to install an SSL certificate (if you chose not to install the certificate in step 9 above).

To access website management:

1. Click here to access the management of your product on the Infomaniak Manager (need help?).
2. Click directly on the name assigned to the product in question.
3. Click on SSL Certificates in the left sidebar.
4. Click on the blue button Install an SSL certificate and follow the procedure.

This guide is for you if you encounter issues with a Sectigo SSL certificate of type DV or EV.

Sectigo Change (June 2025)

Since June 2025, Sectigo uses a new validation infrastructure called MPIC, which performs the necessary checks to issue SSL certificates (including EV and OV) from servers located around the world, and no longer solely from the United States.

A challenge is a method used by the certification authority to verify that the applicant controls the domain. This can be done through an HTTP request, a DNS record, or an email. For EV and OV certificates, this challenge is combined with checks on the organization's identity.

With this new method, validation requests can come from any country or provider. If your site or server uses geoblocking rules, a web application firewall (WAF), or a service like Cloudflare with access restrictions by country or ASN, these checks may be blocked, causing validation to fail.

Even though Sectigo primarily discusses OV and EV certificates, this change can also indirectly affect DV certificates, as domain validation still relies on the ability to access the necessary resources.