Gå til indhold
Dokumentation sslbrain sslbrain.com

Bunny.net CDN

Kopiér link til siden “Bunny.net CDN”

← Alle integrationer

Cloud-tjeneste

Installerer og fornyer offentlige CA-certifikater på de valgte pull-zone-hostnames.

Appliancen kører pakken og forbinder til Bunny.net CDN gennem Bunny.net API over HTTPS på port 443. Der installeres ingen agent på Bunny.net CDN.

Sådan forløber det

  1. Appliancen forbinder til Bunny.net CDN gennem Bunny.net API på port 443.
  2. Discovery finder hvert custom hostname via det SHA-256-fingeraftryk, Bunny faktisk serverer. Du vælger mål pr. hostname og vælger særskilt overtagelse, hvis Bunny free SSL fornyer det.
  3. Før upload gemmes en beskyttet backup på appliancen. Et tidligere custom-certifikat kræver det præcise certifikat og nøgle, som sslbrain har gemt, API’et returnerer, eller du angiver ved første overtagelse. Efter installation gemmes det nye par til næste fornyelse. Hvis det fejler: Hvis mål eller tilstand ikke er entydige, foretages ingen upload. Et API-schemafelt er ikke et løfte om eksport af den gamle private nøgle.
  4. Kun det valgte hostname får den nye PEM-kæde og nøgle. Bunny free SSL overtages via custom-certifikatet, og provision state skal vise Custom. Andre hostnames, tjenester, DNS, origins og globale SSL-indstillinger bevares. Hvis det fejler: Rollback gendanner det gamle custom-certifikatpar eller fjerner en identificeret første upload fra det valgte hostname. Free SSL-gendannelse anmoder Bunny om ny udstedelse uden først at slette et fungerende certifikat; det gamle fingeraftryk og afbrydelsesfri gendannelse kan ikke garanteres.
  5. Kontrol bruger TLS-handshake med SNI direkte til pull-zonens b-cdn.net-endpoint, offentlig CA-tillid og det forventede fingeraftryk. Mislykket aktivering udløser automatisk recovery, når ændringen kan identificeres. Gendannelsen kontrolleres også; en uafklaret tilstand beholder backup og giver en delbar log uden hemmeligheder.

Tekniske detaljer

Forbindelse
Pakken kører på appliancen, som forbinder over HTTPS til Bunny.net API, port 443. Der installeres ingen agent.
I skal bruge
Bunny.net API AccessKey med læse- og skriveadgang til den valgte pull zone. Nøglen sendes kun i AccessKey-headeren til api.bunny.net. MANAGEMENT_TLS_PIN_SHA256 eller MANAGEMENT_TLS_CA_BUNDLE kan vælges; systemtillid er standard, og MANAGEMENT_TLS_INSECURE er et eksplicit override med advarsel. Serving-TLS kontrolleres altid separat med offentlig CA-tillid.
Platform
Pull zones med custom hostnames
Handlinger
Discovery, Installation, Kontrol, Rollback
Pakker
bunny-api 1.0.0
Bemærk
  • BUNNY_TAKEOVER_FREE_SSL er false som standard og vælges pr. hostname. ForceSSL er HTTP-redirect, ikke auto-fornyelse. System-hostnames og managed hostnames ændres ikke.
  • BUNNY_VERIFY_TIMEOUT er 180 sekunder og BUNNY_POLL_INTERVAL 5 sekunder som standard; administratoren kan vælge op til 600 og 60. Et fungerende gammelt certifikat under propagation beholdes. Et mistet writesvar læses tilbage før flere writes; en uafklaret transaktion beholder BACKUP_DIR til administratorens recovery, mens et senere deploy kan bekræfte den nye aktivering.
  • CERTOPS_BACKUP_DIR kan vælge en privat mappe under appliance-brugerens .sslbrain; standard er .sslbrain/bunny-backups. Backup indeholder private nøgler, skal beskyttes og beholdes til recovery. Rollback gentager ikke en allerede verificeret gendannelse og overskriver ikke et certifikat, andre har ændret.
  • Bunny’s to officielle API-schemaer hedder begge 1.0.0. Agenten accepterer de dokumenterede tekst- og talværdier for provision state. DNS-01 free SSL-gendannelse bruger useOnlyHttp01=false. Kontrol fra én netværksplacering bekræfter ikke alle globale PoP’er.
  • Et udløbet tidligere certifikat kan erstattes, når CA-tillid, hostname og fingeraftryk er bekræftet. Det nye certifikat skal være gyldigt nu. Gendannelse af et udløbet tidligere par gendanner identiteten; det ophæver ikke udløbet.

Krav til certifikatet

Bunny dokumenterer RSA og ECDSA. sslbrain tilbyder RSA 2048/3072/4096 og ECDSA P-256/P-384. Bunny offentliggør ikke minimum/maksimum for nøglestørrelse eller kurver; disse valg er ikke en påstand om leverandørens grænser.

Bunny angiver hverken CN-required eller eksplicit CN-less/SAN-only-support. Certifikatet skal dække det konkrete SNI-hostname og bestå TLS-kontrollen; tlsserver/minimal-profiler vurderes via deres faktiske certifikat.

Krav om clientAuth-EKU eller keyEncipherment-KU er ikke offentliggjort. Agenten verificerer servercertifikatets formål og ændrer ikke pull-zonens TLS-policy. Legacy tillader static RSA, mens Compatible/Modern bruger ECDHE.

Custom wildcard-certifikater er dokumenteret. Wildcard-bindinger kontrolleres med et konkret SNI-navn. IP-adresser er ikke deployment-hostnames; accept af ekstra IP-SAN og maksimum antal SAN er ikke dokumenteret.

Upload bruger separate Nginx-kompatible PEM-kæde- og nøglebytes i Base64-felter; readback bruger Base64Url. DER/PFX/JKS er ikke API-uploadformatet. PFX-kryptering med 3DES/RC2/AES er derfor ikke relevant; API’et har intet nøglepassword-felt, og agenten sender en brugbar ukrypteret PEM-nøgle i den beskyttede request.

Kæden skal have leaf først og derefter mellemcertifikater i rækkefølge. Bunny dokumenterer ikke reglen for rodinklusion. sslbrain bruger normal leaf+intermediate fullchain uden at tilføje en rod; det er ikke en leverandørregel mod rødder.

Upload har intet friendly name/alias-felt; bindingen er Hostname. Lokale backupnavne er ikke Bunny-aliaser.

Minimum/maksimum levetid for custom-certifikater er ikke offentliggjort. Det nye certifikat skal have aktuelt gyldige datoer og offentlig CA-tillid; CA- og browserregler er separate. De to API-schemaer dokumenterer ingen versionsspecifikke certifikatgrænser.

Kom i gang