Hoppa till innehåll
Dokumentation sslbrain sslbrain.com

Bunny.net CDN

Kopiera länk till sidan “Bunny.net CDN”

← Alla integrationer

Molntjänst

Installerar och förnyar certifikat från publika CA:er på valda pull-zone-hostnames.

Appliancen kör paketet och ansluter till Bunny.net CDN genom Bunny.net API över HTTPS på port 443. Ingen agent installeras på Bunny.net CDN.

Så går det till

  1. Appliancen ansluter till Bunny.net CDN genom Bunny.net API på port 443.
  2. Discovery hittar varje custom hostname via SHA-256-fingeravtrycket som Bunny faktiskt serverar. Du väljer mål per hostname och väljer övertagande separat om Bunny free SSL förnyar det.
  3. Före uppladdning sparas en skyddad backup på appliancen. Ett tidigare custom-certifikat kräver det exakta certifikatet och nyckeln som sslbrain har sparat, API:et returnerar eller du anger vid första övertagandet. Efter installation sparas det nya paret till nästa förnyelse. Om det misslyckas: Om mål eller tillstånd inte är entydiga görs ingen uppladdning. Ett API-schemafält är inte ett löfte om export av den gamla privata nyckeln.
  4. Bara valt hostname får den nya PEM-kedjan och nyckeln. Bunny free SSL tas över genom custom-certifikatet, och provision state måste visa Custom. Andra hostnames, tjänster, DNS, origins och globala SSL-inställningar bevaras. Om det misslyckas: Rollback återställer det gamla custom-certifikatparet eller tar bort en identifierad första uppladdning från valt hostname. Free SSL-återställning begär ny utfärdning från Bunny utan att först ta bort ett fungerande certifikat; det gamla fingeravtrycket och avbrottsfri återställning kan inte garanteras.
  5. Kontroll använder TLS-handshake med SNI direkt till pull-zonens b-cdn.net-endpoint, publik CA-tillit och förväntat fingeravtryck. Misslyckad aktivering utlöser automatisk recovery när ändringen kan identifieras. Återställningen kontrolleras också; ett oklart tillstånd behåller backup och ger en delbar logg utan hemligheter.

Tekniska detaljer

Anslutning
Paketet körs på appliancen, som ansluter över HTTPS till Bunny.net API, port 443. Ingen agent installeras.
Ni behöver
Bunny.net API AccessKey med läs- och skrivbehörighet till vald pull zone. Nyckeln skickas bara i AccessKey-headern till api.bunny.net. MANAGEMENT_TLS_PIN_SHA256 eller MANAGEMENT_TLS_CA_BUNDLE kan väljas; systemtillit är standard och MANAGEMENT_TLS_INSECURE är en uttrycklig override med varning. Serving-TLS kontrolleras alltid separat med publik CA-tillit.
Plattform
Pull zones med custom hostnames
Åtgärder
Discovery, Installation, Kontroll, Rollback
Paket
bunny-api 1.0.0
Observera
  • BUNNY_TAKEOVER_FREE_SSL är false som standard och väljs per hostname. ForceSSL är HTTP-redirect, inte automatisk förnyelse. System-hostnames och managed hostnames ändras inte.
  • BUNNY_VERIFY_TIMEOUT är 180 sekunder och BUNNY_POLL_INTERVAL 5 sekunder som standard; administratören kan välja upp till 600 och 60. Ett fungerande gammalt certifikat under propagation behålls. Ett förlorat skrivsvar läses tillbaka före fler writes; en oklar transaktion behåller BACKUP_DIR för administratörens recovery, medan en senare deploy kan bekräfta den nya aktiveringen.
  • CERTOPS_BACKUP_DIR kan välja en privat mapp under appliance-användarens .sslbrain; standard är .sslbrain/bunny-backups. Backup innehåller privata nycklar, ska skyddas och behållas för recovery. Rollback upprepar inte en redan verifierad återställning och skriver inte över ett certifikat som någon annan har ändrat.
  • Bunnys två officiella API-scheman heter båda 1.0.0. Agenten accepterar dokumenterade text- och talvärden för provision state. DNS-01 free SSL-återställning använder useOnlyHttp01=false. Kontroll från en nätverksplats bekräftar inte alla globala PoP:er.
  • Ett utgånget tidigare certifikat kan ersättas när CA-tillit, hostname och fingeravtryck är bekräftade. Det nya certifikatet måste vara giltigt nu. Återställning av ett utgånget tidigare par återställer identiteten; det upphäver inte utgången.

Krav på certifikatet

Bunny dokumenterar RSA och ECDSA. sslbrain erbjuder RSA 2048/3072/4096 och ECDSA P-256/P-384. Bunny publicerar inte minimum/maximum för nyckelstorlek eller kurvor; valen är inte ett påstående om leverantörens gränser.

Bunny anger varken CN-required eller uttryckligt stöd för CN-less/SAN-only. Certifikatet måste täcka konkret SNI-hostname och klara TLS-kontrollen; tlsserver/minimal-profiler bedöms via sitt faktiska certifikat.

Krav på clientAuth-EKU eller keyEncipherment-KU är inte publicerade. Agenten verifierar servercertifikatets ändamål och ändrar inte pull-zonens TLS-policy. Legacy tillåter static RSA medan Compatible/Modern använder ECDHE.

Custom wildcard-certifikat är dokumenterade. Wildcard-bindningar kontrolleras med ett konkret SNI-namn. IP-adresser är inte deployment-hostnames; acceptans av extra IP-SAN och maximalt antal SAN är inte dokumenterade.

Uppladdning använder separata Nginx-kompatibla PEM-kedje- och nyckelbytes i Base64-fält; readback använder Base64Url. DER/PFX/JKS är inte API-uppladdningsformatet. PFX-kryptering med 3DES/RC2/AES är därför inte relevant; API:et har inget nyckellösenordsfält och agenten skickar en användbar okrypterad PEM-nyckel i den skyddade requesten.

Kedjan ska ha leaf först och sedan mellancertifikat i ordning. Bunny dokumenterar inte regeln för rotinkludering. sslbrain använder normal leaf+intermediate fullchain utan att lägga till en rot; det är inte en leverantörsregel mot rötter.

Uppladdning har inget friendly name/alias-fält; bindningen är Hostname. Lokala backupnamn är inte Bunny-alias.

Minimum/maximum livslängd för custom-certifikat är inte publicerade. Det nya certifikatet måste ha aktuellt giltiga datum och publik CA-tillit; CA- och webbläsarregler är separata. De två API-schemana dokumenterar inga versionsspecifika certifikatgränser.

Kom igång