Come installare un certificato SSL ACME su Windows IIS

Impostare l’HTTPS per il tuo sito web ospitato su IIS non è più un compito complesso. Grazie al protocollo ACME e a strumenti come Win-ACME, ora puoi automatizzare l’emissione e il rinnovo di certificati SSL affidabili, anche da parte di autorità di certificazione (CA) commerciali.

In questa guida scoprirai come installare un certificato SSL ACME su Windows IIS utilizzando Win-ACME (WACS), con il pieno supporto di External Account Binding (EAB), directory ACME personalizzate e configurazioni multidominio. Questa procedura funziona per gli ambienti aziendali e per le CA commerciali compatibili con ACME.

---

Prima di iniziare

Devi avere accesso come amministratore al server Windows (tramite RDP o login locale).

Il tuo sito web IIS dovrebbe essere già in esecuzione con almeno un binding HTTP (porta 80) configurato per il dominio. Win-ACME lo utilizza per la validazione del dominio HTTP-01.

Dovresti aver ricevuto il seguente messaggio dal tuo CA:

• Un URL della directory ACME
• Un identificatore chiave EAB (EAB KID)
• Una chiave EAB HMAC

---

Passo 1 – Scaricare e configurare Win-ACME

1. Vai alla pagina ufficiale dei rilasci di Win-ACME: https://www.win-acme.com/
2. Scarica l’ultima versione stabile dell’archivio ZIP.
3. Estrai il contenuto in una posizione sicura, idealmente: C:\Program Files\Win-ACME\
4. Verifica che funzioni eseguendo: C:\Program Files\Win-ACME\wacs.exe

Se il prompt dei comandi si apre con le opzioni di Win-ACME, sei pronto a partire.

---

Passo 2 – Richiesta e installazione del certificato tramite ACME

Utilizzerai PowerShell per emettere e installare il certificato SSL utilizzando l’interfaccia a riga di comando di Win-ACME.

Ecco il modello di comando completo:

& "C:\Program Files\Win-ACME\wacs.exe" `
--source iis `
--host "yourdomain.com,www.yourdomain.com" `
--store certificatestore `
--installation iis `
--baseuri "https://your.acme-server.com/v2/DV" `
--eab-key-identifier "YOUR_EAB_KID" `
--eab-key "YOUR_EAB_HMAC_KEY" `
--accepttos

Ripartizione delle bandiere:

• –source iis: Esegue una scansione di IIS per trovare i siti disponibili per automatizzare la convalida.
• –host: Elenco separato da virgole di domini (usa le virgolette se multipli).
• –store certificatestore: Salva il certificato nell’archivio certificati di Windows.
• -installazione iis: Lega automaticamente il certificato al tuo sito in IIS.
• –baseuri: URL della directory ACME della tua CA.
• –identificatore della chiave EAB: Il tuo EAB KID dalla CA.
• –eab-key: la chiave EAB HMAC della CA.
• –accepttos: Accetta automaticamente i termini di servizio della CA.

Suggerimento: Aggiungi –verbose alla fine se qualcosa va storto. In questo modo otterrai dei log dettagliati per la risoluzione dei problemi.

---

Passo 3 – Confermare l’installazione del certificato

Dopo che il comando è stato eseguito correttamente, visita il tuo sito in un browser. Dovresti vedere una connessione sicura con un certificato valido. Per confermare che il binding HTTPS esiste in IIS:

1. Aprire Server Manager
2. Vai a Strumenti → Gestione IIS
3. Vai a: [Nome del server] → Siti → [Il tuo sito] → Legami

Dovresti vedere una voce per la porta 443 con il certificato corretto assegnato.

---

Passo 4 – Verifica della configurazione di rinnovo

Win-ACME pianifica automaticamente un’attività nell’Utilità di pianificazione di Windows per il rinnovo del certificato.

Per visualizzare gli attuali rinnovi ACME programmati, esegui:

& "C:\Program Files\Win-ACME\wacs.exe" --list --baseuri "https://your.acme-server.com/v2/DV"

Vedrai un elenco dei rinnovi configurati, legati alla directory ACME specificata.

Win-ACME tiene traccia dei certificati per ogni server ACME. Se dimentichi il –baseuri, potrebbe sembrare che non sia configurato alcun certificato.

---

Note per gli utenti di CA commerciali

Questa guida supporta qualsiasi CA che offra credenziali ACME + EAB. Assicurati che:

• Il tuo URL ACME è raggiungibile dal tuo server
• Le tue credenziali EAB sono inserite esattamente come sono state fornite (senza spazi bianchi aggiuntivi).
• Il tuo dominio punta al tuo server prima dell’emissione (il DNS deve risolvere)

---

Parole finali

Ora sai come installare un certificato SSL ACME su Windows IIS utilizzando Win-ACME e un’autorità di certificazione commerciale. Dalla convalida del dominio al binding con IIS e al rinnovo automatico, il tuo certificato è impostato per funzionare in modo affidabile, senza problemi di rinnovo manuale.