Kaip atnaujinti sertifikatą per API?

#!/bin/bash

# Nutraukiame vykdymą, jei naudojamas neapibrėžtas kintamasis
set -u

# ==========================================
# A. Nustatymai – reikia pakeisti
# ==========================================

# Sertifikato paslaugos nustatymai – pakeisti po kiekvieno sertifikato užsakymo
ID="12345"
VENDORID="1234567890"
DOMAIN="kriptografija.lt"

# Serverio nustatymai - įvesti kiekvienam vhost pajungiant pirmą kartą
ADMIN_EMAIL="admin@kriptografija.lt" # Administratoriaus el. paštas perspėjimams
WEB_ROOT="/var/www/html" # Kelis vartotojus turinčiuose serveriuose dažniausiai /home/user/$DOMAIN/public
CRT_FILE="/etc/ssl/certs/${DOMAIN}.crt"
CA_FILE="/etc/ssl/certs/${DOMAIN}-ca.crt"
KEY_FILE="/etc/ssl/private/${DOMAIN}.key"
CSR_FILE="/etc/ssl/csr/${DOMAIN}.csr"
JSON_FILE="/etc/ssl/kriptografija.lt/${DOMAIN}.json"

# API nustatymai - įvesti pajungiant pirmą kartą
HOST="kriptografija.lt/api/ssl.php" # Hipotetinis, tikrą suteikia pagalbos tarnyba
MIN_DAYS=20
MAX_WAIT=10800 # Maksimalus DCV laukimo laikas: 3 valandos (10800 sekundžių)

# ==========================================
# 0. Skripto aplinkos sukūrimas
# ==========================================

API_URL="https://$HOST?id=$ID&vendorid=$VENDORID&cn=$DOMAIN"
START_TIME=$(date +%s)
API_ERROR="" # Paskutinės nepavykusios API užklausos priežastis

# Pranešimas administratoriui. Jei „mail“ paketo serveryje nėra,
# žinutė lieka tik skripto registre (log faile) – skriptas dėl to nenutrūksta.
notify() {
    local subject="$1"
    local body="$2"

    echo "$body"

    if command -v mail > /dev/null 2>&1; then
        echo "$body" | mail -s "$subject" "$ADMIN_EMAIL"
    else
        echo "Įspėjimas: komanda 'mail' nerasta, pranešimas '$subject' neišsiųstas." >&2
    fi
}

# Visos API užklausos. Atsakymą įrašo į $API_BODY; jei nepavyko prisijungti
# arba grąžintas ne HTTP 200, parodo priežastį ir grąžina klaidos kodą.
api_call() {
    local response http_code curl_error error_file
    error_file=$(mktemp)

    response=$(curl --silent --show-error --max-time 30 --write-out '\n%{http_code}' "$@" 2> "$error_file")
    http_code=$(printf '%s\n' "$response" | tail -n 1)
    API_BODY=$(printf '%s\n' "$response" | sed '$d')
    curl_error=$(cat "$error_file")
    rm -f "$error_file"

    # HTTP kodas 000 reiškia, kad prisijungti prie serverio išvis nepavyko (DNS, TLS, ugniasienė)
    if [ "$http_code" != "200" ]; then
        API_ERROR="HTTP $http_code: ${curl_error:-${API_BODY:-tuščias atsakymas}}"
        echo "API klaida – $API_ERROR" >&2
        return 1
    fi
}

# Tikriname, ar skriptas paleistas su root teisėmis
if [ "$EUID" -ne 0 ]; then
    echo "Klaida: Šį skriptą būtina paleisti su 'root' teisėmis (naudokite sudo), kad būtų išvengta 'Permission denied' klaidų."
    exit 1
fi

# Užtikriname, kad SSL katalogai egzistuoja
mkdir -p /etc/ssl/certs
mkdir -p /etc/ssl/private
mkdir -p /etc/ssl/csr
mkdir -p /etc/ssl/kriptografija.lt

# ==========================================
# 1. Sertifikato galiojimo patikrinimas
# ==========================================

# Patikriname, ar failas egzistuoja ir ar sėkmingai nuskaitoma data
if [ -f "$CRT_FILE" ]; then
    EXP_DATE=$(openssl x509 -enddate -noout -in "$CRT_FILE" 2>/dev/null | cut -d= -f2)

    if [ -n "$EXP_DATE" ]; then
        EXP_SEC=$(date -d "$EXP_DATE" +%s)
        NOW_SEC=$(date +%s)
        DAYS_LEFT=$(( (EXP_SEC - NOW_SEC) / 86400 ))
    else
        DAYS_LEFT=-1
    fi
else
    DAYS_LEFT=-1
fi

if [ "$DAYS_LEFT" -ge 0 ] && [ "$DAYS_LEFT" -gt "$MIN_DAYS" ]; then
    echo "Sertifikatas dar galioja $DAYS_LEFT d. Atnaujinimas nereikalingas."
    exit 0
elif [ "$DAYS_LEFT" -lt 0 ]; then
    echo "Sertifikato failas nerastas arba negaliojantis. Pradedamas naujas išdavimas."
else
    echo "Sertifikatas galioja tik $DAYS_LEFT d. Pradedamas atnaujinimas."
fi

# ==========================================
# 2. Paslaugos galiojimo patikrinimas iš API
# ==========================================

# Jei API neatsakė, toliau nebetęsiame – kitaip klaida keliautų per visą skriptą
if ! api_call "$API_URL"; then
    notify "Klaida: SSL API neatsako domenui $DOMAIN" "Nepavyko gauti sertifikato būsenos iš API domenui $DOMAIN ($API_ERROR). Patikrinkite HOST, ID, VENDORID ir CN reikšmes bei serverio interneto ryšį."
    exit 1
fi

STATUS_JSON="$API_BODY"
API_STATUS=$(echo "$STATUS_JSON" | jq -r '.status // empty')

if [ -z "$API_STATUS" ]; then
    notify "Klaida: netinkamas SSL API atsakymas domenui $DOMAIN" "API atsakyme nėra 'status' reikšmės. Gautas atsakymas: $STATUS_JSON"
    exit 1
fi

SERVICE_TILL=$(echo "$STATUS_JSON" | jq -r '.service_till')

if [ "$SERVICE_TILL" != "null" ] && [ -n "$SERVICE_TILL" ]; then
    SERVICE_TILL_SEC=$(date -d "$SERVICE_TILL" +%s)
    NOW_SEC=$(date +%s)
    SERVICE_DAYS_LEFT=$(( (SERVICE_TILL_SEC - NOW_SEC) / 86400 ))

    if [ "$SERVICE_DAYS_LEFT" -lt 20 ]; then
        notify "Dėmesio: Baigiasi SSL paslauga domenui $DOMAIN" "Domeno $DOMAIN sertifikato paslauga baigsis už $SERVICE_DAYS_LEFT d. ($SERVICE_TILL). Būtina užsakyti naują paslaugą. Atnaujinimas nutrauktas."
        exit 1
    else
        echo "Sertifikato paslauga dar galioja $SERVICE_DAYS_LEFT d. Tęsiame..."
    fi
fi

# ==========================================
# 3. CSR generavimas ir siuntimas
# ==========================================

if [ "$API_STATUS" == "processing" ]; then
    echo "Sertifikato būsena yra 'processing'. CSR jau pateiktas ankstesnio vykdymo metu."
else
    # Jei privataus rakto nėra arba jis tuščias (pvz., liko po nepavykusio vykdymo), sukuriame naują
    if [ ! -s "$KEY_FILE" ]; then
        echo "Privatus raktas nerastas arba tuščias. Generuojamas naujas: $KEY_FILE"
        openssl genrsa -out "$KEY_FILE" 2048 || exit 1
        chmod 600 "$KEY_FILE"
    fi

    # Netinkamo rakto neperrašome – jis gali būti naudojamas kitur; apie tai pranešame administratoriui
    if ! openssl rsa -in "$KEY_FILE" -noout -check > /dev/null 2>&1; then
        notify "Klaida: netinkamas privatus raktas domenui $DOMAIN" "Privatus raktas $KEY_FILE netinkamas arba apsaugotas slaptažodžiu, todėl CSR sugeneruoti nepavyks."
        exit 1
    fi

    echo "Generuojamas naujas CSR failas: $CSR_FILE"
    openssl req -new -sha256 -key "$KEY_FILE" -out "$CSR_FILE" -subj "/CN=$DOMAIN" || exit 1

    # Įsitikiname, kad CSR tikrai sugeneruotas – tuščią CSR API priimtų, bet atnaujinimas neprasidėtų
    if ! openssl req -in "$CSR_FILE" -noout -verify > /dev/null 2>&1; then
        notify "Klaida: netinkamas CSR domenui $DOMAIN" "Sugeneruotas CSR failas $CSR_FILE yra tuščias arba netinkamas."
        exit 1
    fi

    # Siunčiame CSR į API – tik po to tiekėjo sistemoje atsiranda DCV duomenys
    echo "Siunčiame CSR į API."
    if ! api_call -X POST "${API_URL}&action=csr" \
        --data-urlencode "csr=$(cat "$CSR_FILE")" \
        --data-urlencode "dcv_method=https"; then
        notify "Klaida: nepavyko įkelti CSR domenui $DOMAIN" "Nepavyko įkelti CSR domenui $DOMAIN. $API_ERROR"
        exit 1
    fi

    STATUS_JSON="$API_BODY"
    echo "$STATUS_JSON" > "$JSON_FILE"

    # Tiekėjo sistema CSR priima ne visada, todėl tikriname „accepted“ reikšmę,
    # o ne vien HTTP kodą – kitaip veltui lauktume DCV duomenų
    CSR_ACCEPTED=$(echo "$STATUS_JSON" | jq -r '.accepted // false')
    CSR_MESSAGE=$(echo "$STATUS_JSON" | jq -r '.message // empty')

    if [ "$CSR_ACCEPTED" != "true" ]; then
        notify "Klaida: CSR nepriimtas domenui $DOMAIN" "API atmetė CSR domenui $DOMAIN: ${CSR_MESSAGE:-priežastis nenurodyta}. Atsakymas išsaugotas: $JSON_FILE"
        exit 1
    fi

    echo "CSR priimtas: ${CSR_MESSAGE:-atsakyme pranešimo nėra}"
fi

# ==========================================
# 4. DCV failų kūrimas ir patvirtinimo inicijavimas
# ==========================================

# DCV duomenys atsakyme atsiranda tik tada, kai vyksta įkelto CSR patikrinimas, ir ne iš karto
# po CSR įkėlimo, todėl „status“ užklausą kartojame (API leidžia 1 užklausą per 10 sekundžių).
DCV_LIST=""
SKIP_DCV=0 # 1 – DCV nebereikia, nes sertifikatas jau išduotas

for ATTEMPT in 1 2 3; do
    sleep 10

    if ! api_call "$API_URL"; then
        notify "Klaida: SSL API neatsako domenui $DOMAIN" "Nepavyko gauti DCV duomenų iš API domenui $DOMAIN ($API_ERROR)."
        exit 1
    fi

    STATUS_JSON="$API_BODY"
    echo "$STATUS_JSON" > "$JSON_FILE"

    # Išrenkame pagrindinio domeno („validation“) ir visų SAN adresų („sans“) DCV failus.
    # Turinį perduodame base64 formatu, nes jame yra eilučių lūžių (CRLF).
    DCV_LIST=$(echo "$STATUS_JSON" | jq -r '
        [.validation] + [.sans[]?]
        | .[]
        | select(.path != null and .content != null)
        | "\(.path)\t\(.content | @base64)"' | sort -u)

    if [ -n "$DCV_LIST" ]; then
        break
    fi

    echo "DCV duomenų dar nėra ($ATTEMPT bandymas iš 3). Laukiame..."
done

# Jei ankstesnio atnaujinimo DCV įrašas dar galioja, sertifikatas išduodamas iškart –
# tuomet DCV duomenų atsakyme nebus, bet „crt“ reikšmėje jau bus naujas sertifikatas.
if [ -z "$DCV_LIST" ]; then
    INSTALLED_FINGERPRINT=$(openssl x509 -in "$CRT_FILE" -noout -fingerprint -sha256 2>/dev/null)
    NEW_FINGERPRINT=$(echo "$STATUS_JSON" | jq -r '.crt // empty' | openssl x509 -noout -fingerprint -sha256 2>/dev/null)

    if [ -n "$NEW_FINGERPRINT" ] && [ "$NEW_FINGERPRINT" != "$INSTALLED_FINGERPRINT" ]; then
        echo "DCV duomenų nėra, tačiau API pateiktas CRT skiriasi nuo įdiegtojo – sertifikatas jau išduotas. Pereiname prie diegimo."
        SKIP_DCV=1
    else
        notify "Klaida: negauti DCV duomenys domenui $DOMAIN" "API atsakyme nėra 'validation' duomenų, o pateiktas CRT nesiskiria nuo įdiegtojo domenui $DOMAIN. Patikrinkite, ar CSR įkeltas ir ar naudojamas 'https' DCV metodas (atsakymas išsaugotas: $JSON_FILE)."
        exit 1
    fi
fi

if [ "$SKIP_DCV" -eq 0 ]; then
    while IFS=$'\t' read -r DCV_PATH DCV_B64; do
        mkdir -p "${WEB_ROOT}$(dirname "$DCV_PATH")"
        # Naudojame tee, jei skriptas kažkokiu būdu paleistas su dalinėmis sudo teisėmis
        echo "$DCV_B64" | base64 -d | tee "${WEB_ROOT}${DCV_PATH}" > /dev/null
        echo "Sukūrėme naują DCV failą: ${WEB_ROOT}${DCV_PATH}"
    done <<< "$DCV_LIST"

    if [ "$API_STATUS" == "processing" ]; then
        api_call "${API_URL}&action=validate" > /dev/null
        echo "Inicijavome DCV procesą iš naujo."
    fi
fi

# ==========================================
# 5. Laukiame sertifikato išdavimo
# ==========================================

while true; do
    if api_call "$API_URL"; then
        STATUS_JSON="$API_BODY"
        STATUS=$(echo "$STATUS_JSON" | jq -r '.status // empty')
    else
        # Laikina API klaida neturi nutraukti laukimo – bandysime dar kartą
        STATUS=""
    fi

    if [ "$STATUS" == "active" ]; then
        echo "Išsaugomi nauji CRT ir CA failai..."

        echo "$STATUS_JSON" | jq -r '.crt' > "${CRT_FILE}.new"
        echo "$STATUS_JSON" | jq -r '.ca' > "$CA_FILE"

        # Įsitikiname, kad gautas CRT atitinka mūsų privatų raktą, ir tik tada keičiame veikiantį failą
        CRT_MOD=$(openssl x509 -noout -modulus -in "${CRT_FILE}.new" 2>/dev/null | openssl md5)
        KEY_MOD=$(openssl rsa -noout -modulus -in "$KEY_FILE" 2>/dev/null | openssl md5)

        if [ -z "$CRT_MOD" ] || [ "$CRT_MOD" != "$KEY_MOD" ]; then
            rm -f "${CRT_FILE}.new"
            notify "Klaida: SSL atnaujinimas domenui $DOMAIN" "Gautas CRT neatitinka privataus rakto $KEY_FILE. Senas sertifikatas paliekamas nepakeistas."
            exit 1
        fi

        # Sujungiame CRT ir CA į vieną failą Nginx serveriui
        cat "$CA_FILE" >> "${CRT_FILE}.new"
        mv "${CRT_FILE}.new" "$CRT_FILE"

        # Perkrauname žiniatinklio serverį – reikia pakeisti į naudojamo paketo komandą
        nginx -t && systemctl reload nginx
        echo "Sertifikatas sėkmingai atnaujintas ir įdiegtas."
        break
    else
        CURRENT_TIME=$(date +%s)
        ELAPSED=$(( CURRENT_TIME - START_TIME ))
        ELAPSED_MIN=$(( ELAPSED / 60 ))

        if [ "$ELAPSED" -gt "$MAX_WAIT" ]; then
            notify "Kritinė klaida: SSL atnaujinimas strigo" "Domeno $DOMAIN patvirtinimas (DCV) užtruko ilgiau nei 3 valandas. Sertifikato atnaujinimas nutrauktas."
            exit 1
        fi

        echo "Sertifikatas dar neišduotas, praėjo $ELAPSED_MIN min. Laukiame..."
        sleep 60
    fi
done

curl -sS "https://<host>?id=12345&vendorid=1234567890&cn=kriptografija.lt"

chmod +x /usr/local/bin/ssl-renew-kriptografija.lt.sh

/usr/local/bin/ssl-renew-kriptografija.lt.sh