Como instalar um certificado SSL no CompleteFTP

Este guia mostra como instalar um certificado SSL/TLS no CompleteFTP, o servidor de transferência de arquivos baseado em Windows da Enterprise Distributed Technologies (EDT). O mesmo certificado é usado para FTPS (FTP sobre TLS) e para o gerenciador de arquivos web HTTPS, portanto uma única importação cobre ambos. As etapas abaixo correspondem às versões atuais do CompleteFTP e usam o caminho de importação recomendado PFX/PKCS#12.

Gerar o CSR no CompleteFTP

Se você já gerou o seu CSR e recebeu os arquivos do certificado emitido pela sua Autoridade Certificadora, pule esta seção e vá diretamente para as etapas de instalação abaixo.

O CSR (Certificate Signing Request) é um bloco de texto codificado que contém seus dados de contato e a chave pública. Você o envia à Autoridade Certificadora ao encomendar o certificado. Você tem duas opções:

• Gere o CSR automaticamente com nosso Gerador de CSR. A chave privada é gerada fora do CompleteFTP, portanto você combinará o certificado emitido e a chave em um arquivo .pfx antes de importar.
• Gere o CSR no próprio servidor seguindo nosso tutorial sobre como gerar um CSR no CompleteFTP. A chave privada permanece dentro do CompleteFTP, e a CA retorna os arquivos de certificado que você importará na próxima seção.

Envie o CSR à Autoridade Certificadora durante o seu pedido e aguarde a validação. Depois que a CA emitir o certificado, prossiga com a instalação abaixo.

Instalar um certificado SSL no CompleteFTP

Assim que a CA enviar por e-mail os arquivos emitidos, baixe o arquivo ZIP e extraia-o no servidor CompleteFTP. Normalmente você terá um destes dois conjuntos de arquivos:

• Um único arquivo .pfx (ou .p12) que reúne o certificado, a chave privada correspondente e a cadeia da CA. Este é o caminho mais simples e o que recomendamos, especialmente quando o CSR foi gerado fora do CompleteFTP.
• Um arquivo de certificado separado (normalmente .crt ou .pem) mais a chave privada que você guardou da etapa do CSR. O CompleteFTP 12.1 e versões posteriores aceitam PEM diretamente; versões mais antigas preferem PFX.

Se você tiver apenas arquivos separados e precisar de um único pacote, combine-os com o nosso Conversor SSL, ou execute:

openssl pkcs12 -export 
  -out yourdomain.pfx 
  -inkey yourdomain.key 
  -in yourdomain.crt 
  -certfile ca-bundle.crt

Etapa 1: Abrir a configuração de Server Certificate no CompleteFTP Manager

• Inicie o CompleteFTP Manager no servidor e faça login como administrador.
• No painel Sites, à esquerda, selecione o site cujo certificado você está substituindo (o site padrão é adequado para um servidor com um único site).
• Em Settings, expanda FTP/FTPS > Advanced FTP/FTPS Settings > Security Settings.
• Selecione Server Certificate (also used in HTTPS), depois clique no botão de três pontos à direita para abrir a caixa de diálogo do certificado.

O rótulo é explícito de propósito: o mesmo certificado é apresentado para FTPS (canais de controle e de dados) e para o gerenciador de arquivos web HTTPS, então você importa apenas uma vez.

Etapa 2: Importar o certificado

• Na janela Server Certificate, clique em Import a certificate from a file (segundo link a partir de baixo).
• Quando a solicitação Importing Certificate perguntar se deseja substituir o certificado existente, clique em Yes. O CompleteFTP vem com um certificado autoassinado padrão que você substitui nesta etapa.
• Navegue até o arquivo do seu certificado:
  • PFX/PKCS#12 (recomendado): selecione o arquivo .pfx ou .p12 e digite a senha de exportação quando solicitado. O certificado, a chave privada e a cadeia da CA são carregados em uma única etapa.
  • Arquivos separados: selecione o arquivo .crt ou .pem emitido pela CA. Se a chave privada não estiver incorporada, o CompleteFTP solicitará o arquivo de chave correspondente e, se estiver criptografado, sua senha.
• Clique em OK para finalizar. O novo certificado é aplicado tanto para FTPS quanto para HTTPS no site selecionado.

Etapa 3: Confirmar que o certificado está ativo

O CompleteFTP aplica o novo certificado às novas conexões sem reiniciar o serviço. Se os clientes tiverem sessões de longa duração, force uma reconexão ou reinicie o serviço CompleteFTP Server a partir do services.msc para que todos os canais adotem imediatamente a nova cadeia.

Abra o gerenciador de arquivos web via https:// e verifique o cadeado, ou conecte-se com um cliente FTPS como FileZilla ou WinSCP usando Explicit FTP over TLS (FTPES) na porta 21. Em seguida, execute uma verificação mais detalhada com o nosso SSL Checker contra o host e a porta HTTPS (porta 443 por padrão, ou a porta em que o HTTPS está vinculado nas configurações do seu site CompleteFTP) para confirmar se o certificado, a cadeia e o suporte a protocolos estão corretos.

Escolhendo o modo FTPS (explícito vs. implícito)

O CompleteFTP suporta ambos os modos FTPS em portas de escuta separadas. Prefira o FTPS explícito (FTPES) na porta 21, que negocia o TLS por meio do comando AUTH TLS. É o padrão moderno e o padrão na maioria dos clientes. O FTPS implícito na porta 990 encapsula a conexão em TLS desde o primeiro byte e é tratado como legado; mantenha-o ativado apenas para clientes que não conseguem usar o FTPES. Desative completamente o FTP simples assim que seus clientes estiverem usando FTPS.

Perguntas Frequentes