12 בנובמבר 2026 · תשתיות מפתח ציבורי ואוטומציה של תעודות
גרסת Certbot 5.10.0, שפורסמה ב־10 בנובמבר, מתקנת מצב מרוץ בתוסף webroot. אם משתמש בעל הרשאות נמוכות יותר יכול לשנות את תיקיית האתר בזמן ש־Certbot פועל, התקלה עלולה לשנות בעלות או הרשאות של קובץ אחר מהמיועד. הגרסה גם דוחה חלונות חידוש מוצעים של ARI שמועד סיומם אינו מאוחר מתחילתם. שני התיקונים מופיעים בהערות הגרסה הרשמיות.
מתחילים בגבול ההרשאות המקומי
תוסף webroot מוכיח שליטה בדומיין באמצעות קובץ אתגר זמני בתיקיית האתר. השאלה החשובה כאן היא מי יכול לשנות את התיקייה בזמן החידוש. עצם העובדה שהאתר נגיש לציבור אינה מוכיחה שהתנאי הזה מתקיים.
בשרת משותף, בדקו אם חשבון של יישום, תהליך פריסה או דייר אחר יכול לשנות קבצים בנתיב החידוש בזמן שתהליך Certbot בעל הרשאות גבוהות יותר פועל. כללו בבדיקה גם את תיקיות האב. זו בדיקת הרשאות, לא סיבה לחשוף חלקים נוספים ממערכת הקבצים או להעניק הרשאות כתיבה רחבות כדי שהחידוש יצליח.
רשימת בדיקה ממוקדת למפעילים
- זהו את משימת החידוש בפועל. תעדו את תוסף האימות, נתיב קובץ ההפעלה והגרסה המותקנת. בדקו את המשימה המתוזמנת במקום להניח שהיא משתמשת באותה התקנה שפועלת במסוף שלכם.
- התקינו את התיקון דרך מסלול ההתקנה הנתמך שלכם. גרסת הפרויקט 5.10.0 כוללת אותו. אם ההפצה שלכם משלבת תיקונים בגרסאות קודמות, הסתמכו על הודעת מתחזקי החבילה ולא רק על מספר הגרסה.
- בדקו גישה לנתיב האתגר. תעדו אילו חשבונות יכולים לכתוב בו והאם הם אמורים להיות מסוגלים לכך. בצעו שינוי הרשאות במכוון ובדקו חידוש אחריו, במקום לשנות בעלות באופן רקורסיבי בכל האתר.
- בדקו את תהליך החידוש המוגדר. הפקודה המתועדת
certbot renew --dry-runשימושית, אך יש לבדוק תחילה פקודות נלוות ושרת ACME מותאם, אם הוגדר. השתמשו בקובץ ההפעלה ובהגדרות של המשימה המתוזמנת. פקודות לפני ואחרי החידוש רצות כברירת מחדל, וייתכנו טעינות מחדש של שרת האתר; פקודות פריסה אינן רצות בדרך כלל ללא הפעלה מפורשת. - עקבו אחר ההרצה המתוזמנת הבאה. בדקו שגיאות חידוש וניטור תוקף התעודות. הרצת ניסיון מוצלחת בודקת את תפקוד החידוש, לא את אבטחת ההרשאות או את קיום התיקון. ודאו שהמתזמן, חשבון השירות ופקודות הפריסה פועלים יחד.
שומרים על בדיקה וטענה ממוקדות
בדרך כלל, הרצת ניסיון משתמשת בסביבת הבדיקות של Let’s Encrypt; הגדרת --server יכולה לשנות זאת. עיינו במדריך Certbot לפני בדיקת תצורה מותאמת. אל תחלישו אימות תעודות כדי לקבל תוצאה מוצלחת.
שני התיקונים נוגעים לחלקים שונים באוטומציה: טיפול בקבצים מקומיים ובדיקת תקינות של חלון חידוש מוצע. המאמר אינו קובע שהשרת שלכם נוצל ואינו מתאר שחזור מעשי שביצענו. ההמלצה המעשית היא לעדכן את הלקוח ולבדוק את ההרשאות ואת תהליך העבודה המתוזמן שסביבו.
נבדק ב־12 בנובמבר 2026. מקורות: הערות הגרסה של הפרויקט, רישום הגרסה ב־PyPI והתיעוד של Certbot. תאריך פרסום המאמר נפרד מתאריך שחרור הגרסה, 10 בנובמבר.