Gerenciamento automatizado de certificados SSL

Visão geral

O AutoSSL pode enviar automaticamente arquivos de certificado SSL para um bucket do Cloudflare R2. Cada certificado fica arquivado em um caminho versionado e também é atualizado em um caminho latest/, para quem consome os arquivos (por exemplo, Nginx, Caddy ou scripts que baixam certificados do R2) encontrar a versão atual com facilidade.

O Cloudflare R2 é compatível com S3 e não cobra taxas de saída (egress), o que o torna uma alternativa de baixo custo para armazenar e distribuir certificados.

Para gerenciar e executar esta implantação, consulte Gerenciamento de implantações.

Parâmetros de configuração

Ao adicionar ou editar este alvo no console do AutoSSL, configure os parâmetros abaixo:

Parâmetro	Descrição	Exemplo
Account ID	O Account ID da Cloudflare. Ele aparece na URL do painel ou na página de visão geral de Workers & Pages.	`a1b2c3d4e5f6...`
Nome do bucket	O nome do bucket R2 para o qual os arquivos de certificado serão enviados.	`my-ssl-certs`
Prefixo da chave do objeto	(Opcional) Prefixo para organizar os arquivos de certificado no bucket. Se informado, os arquivos ficam sob esse prefixo. A barra final é opcional.	`certs/example.com/`

Como funciona

Quando o AutoSSL implanta um certificado em um bucket do Cloudflare R2 (por exemplo, my-ssl-certs com o prefixo certs/example.com/), ele faz o seguinte:

Preparação do certificado:
- Separa a cadeia completa em arquivos PEM individuais: cert.pem (certificado folha), privkey.pem (chave privada, codificada em PKCS#8), chain.pem (cadeia intermediária) e fullchain.pem (cadeia completa).
- Gera um arquivo README.md com metadados do certificado e um link para https://autossl.dev, para rastreabilidade.
- Lê a data notBefore e a impressão digital SHA1 do certificado para montar o nome do diretório de arquivo (formato: YYYY-MM-DD_<first 8 chars of SHA1>).
Envio dos arquivos:
- Envia os arquivos de certificado (quatro arquivos PEM e o README.md) para dois caminhos no bucket:
  - Caminho de arquivo — certs/example.com/2026-05-30_e5f6a7b8/cert.pem (e privkey.pem, chain.pem, fullchain.pem, README.md). Esse caminho é único para cada emissão e nunca é sobrescrito.
  - Caminho latest — certs/example.com/latest/cert.pem (e privkey.pem, chain.pem, fullchain.pem, README.md). Esse caminho sempre aponta para o certificado enviado por último.

O caminho latest/ permite que os serviços seguintes busquem sempre o certificado atual em uma chave fixa do R2. Os certificados anteriores continuam disponíveis nos diretórios versionados.

Exemplo de estrutura do bucket

Depois de várias renovações, a estrutura do bucket fica assim:

certs/example.com/
├── 2026-03-01_a1b2c3d4/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
├── 2026-05-30_e5f6a7b8/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
└── latest/
    ├── cert.pem
    ├── privkey.pem
    ├── chain.pem
    ├── fullchain.pem
    └── README.md

Formato da chave privada

privkey.pem usa o formato PKCS#8 (-----BEGIN PRIVATE KEY-----). Servidores e ferramentas modernos aceitam esse formato (Nginx, Caddy, Traefik, OpenSSL 1.1+ e outros).

Se o ambiente exigir PKCS#1 (por exemplo, -----BEGIN RSA PRIVATE KEY----- para chaves RSA), converta localmente antes de usar:

openssl rsa -in privkey.pem -out privkey-pkcs1.pem

Requisitos da chave de acesso

Para usar a API do Cloudflare R2, este provedor exige uma chave de acesso do Cloudflare R2.

Permissões necessárias

O token de API do R2 precisa da permissão Object Read & Write no bucket de destino.

Para criar um token de API específico do R2 com as permissões corretas:

Acesse o painel da Cloudflare → R2 Object Storage → Manage R2 API Tokens.
Clique em Create API token.
Defina Permissions como Object Read & Write.
(Opcional) Restrinja o token a um bucket específico em Specify bucket(s), com o nome do bucket de destino.
Clique em Create API Token e copie o Access Key ID e a Secret Access Key.

Para mais informações, consulte a documentação de tokens de API do Cloudflare R2.

Cloudflare R2