Envie um certificado digital

Você pode adicionar um certificado que uma autoridade certificadora (CA) emitiu para o seu domínio ao Certificate Manager e vinculá-lo a um workload, pelo Azion Console, pela Azion CLI ou pela API. Para um certificado que a Azion solicita ao Let’s Encrypt e renova, consulte Solicite um certificado Let’s Encrypt. Para o certificado de CA confiável que verifica certificados de cliente, consulte Configure mTLS em um workload.

Um certificado de servidor cobre os hostnames que um workload atende por HTTPS. Você obtém um de duas formas: você envia um certificado com a sua chave privada, ou Certificate Manager cria uma solicitação de assinatura de certificado (CSR) e guarda a chave privada enquanto a sua CA assina o certificado. Em ambos os casos, um workload usa o certificado apenas depois que o seu campo tls.certificate o nomeia, e o certificado fica como inactive até lá.

Uma conta que opera na API v3 com Domains seleciona o certificado em cada domínio, em vez disso. Para mais informações, consulte Domains.

Pré-requisitos

Console

Um workload que lista o seu domínio nos seus domínios. Para adicionar o domínio, consulte Adicione um domínio a um workload.
Para enviar um certificado: o certificado em formato PEM e a sua chave privada, sem senha. Chaves RSA 2048 e chaves P-256 são aceitas.
Para criar uma CSR: um domínio que a sua conta tem permissão para usar.
Acesso ao Azion Console. Para mais informações, consulte Como acessar o Azion Console.

CLI

Um workload que lista o seu domínio nos seus domínios. Para adicionar o domínio, consulte Adicione um domínio a um workload.
Para enviar um certificado: o certificado em formato PEM e a sua chave privada, sem senha. Chaves RSA 2048 e chaves P-256 são aceitas.
Para criar uma CSR: um domínio que a sua conta tem permissão para usar.
A Azion CLI, autorizada com a sua conta. Esta página corresponde à Azion CLI 4.23.0.
O ID do workload. azion create workload o imprime como Created Workload with ID <workload-id>.

API

Um workload que lista o seu domínio nos seus domínios. Para adicionar o domínio, consulte Adicione um domínio a um workload.
Para enviar um certificado: o certificado em formato PEM e a sua chave privada, sem senha. Chaves RSA 2048 e chaves P-256 são aceitas.
Para criar uma CSR: um domínio que a sua conta tem permissão para usar.
Um token pessoal para o header Authorization, no formato Token [TOKEN VALUE]. Para criar um token, consulte Tokens pessoais.
curl ou outro cliente HTTP.
O ID do workload. azion create workload o imprime como Created Workload with ID <workload-id>.

Envie um certificado de servidor

Certificate Manager armazena o certificado com a sua chave privada e nunca devolve a chave privada depois disso. Certificados intermediários são aceitos junto com o certificado.

Console

Para enviar o certificado no Azion Console:

Abra a página Certificate Manager

Acesse Azion Console > Certificate Manager.

Abra a página Create Digital Certificate

Escolha o preset Server Certificate

Selecione Server Certificate.

Dê um nome ao certificado

Em Name, insira um nome, como my-certificate.

Cole o certificado

Em Certificate, cole o certificado, incluindo as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.

Cole a chave privada

Em Private Key, cole a chave privada, incluindo as linhas -----BEGIN e -----END.

Crie o certificado

Selecione Create.

O certificado aparece em Certificate Manager como um TLS Certificate.

CLI

Para enviar o certificado com a Azion CLI, passe o arquivo do certificado e o arquivo da chave privada:

azion create digital-certificate --name my-certificate --certificate certificate.pem --private-key private-key.pem

O comando imprime o ID do novo certificado:

Created Digital Certificate with ID <certificate-id>

Para confirmar o envio, liste os seus certificados:

azion list digital-certificate --details

Este trecho da saída mostra o certificado como inactive, porque nenhum workload o usa ainda:

Texto

01ID NAME STATUS ISSUER VALIDITY TYPE MANAGED ...

02<certificate-id> my-certificate inactive 2026-01-31 12:00:00+00:00 edge_certificate false ...

API

Para enviar o certificado com a API, envie uma requisição POST ao endpoint de certificados. Escreva cada quebra de linha do certificado e da chave privada como \n, para que cada valor seja uma única string JSON contínua:

Shell

01curl --request POST \

02 --url https://api.azion.com/v4/workspace/tls/certificates \

03 --header 'Accept: application/json' \

04 --header 'Authorization: Token [TOKEN VALUE]' \

05 --header 'Content-Type: application/json' \

06 --data {

07 "name": "my-certificate",

08 "certificate": "-----BEGIN CERTIFICATE-----\n<certificate-body>\n-----END CERTIFICATE-----\n",

09 "private_key": "-----BEGIN PRIVATE KEY-----\n<private-key-body>\n-----END PRIVATE KEY-----\n"

10}

A API responde 201 com o novo certificado e o seu id. O certificado existe com type definido como edge_certificate e status definido como inactive.

Uma chave privada que a API não consegue ler é recusada com The provided private key is invalid. Please check the key and try again. Envie a chave que corresponde ao certificado, em formato PEM e sem senha.

Crie uma solicitação de assinatura de certificado

Uma CSR permite que a sua própria CA assine o certificado enquanto Certificate Manager gera e guarda a chave privada. Nomeie os hostnames que o workload lista nos seus domínios. A API aceita um certificado cujos nomes não correspondem a esses domínios, então ela não detecta a divergência por você.

Console

Os presets da página Create Digital Certificate não incluem uma CSR. Crie a CSR primeiro com a Azion CLI ou com a API.

Para copiar a solicitação no Azion Console:

Abra a página Certificate Manager

Acesse Azion Console > Certificate Manager.

Abra a entrada da CSR

Selecione a entrada que a CSR criou. A página Edit Digital Certificate dela abre.

Copie a solicitação

Em Certificate Signing Request (CSR), selecione Copy.

Azion Console mostra “Successfully copied!”, e a solicitação está pronta para ser enviada à sua CA.

CLI

Para criar a CSR com a Azion CLI, passe os hostnames e os dados da sua organização. --alternative-names recebe uma lista separada por vírgulas, e --key-algorithm recebe rsa_2048, rsa_4096 ou ecc_384:

Shell

01azion create csr --name my-csr \

02 --common-name example.com \

03 --alternative-names "www.example.com" \

04 --country US --state California --locality "San Francisco" \

05 --organization "Example Corp" --organization-unity IT \

06 --email admin@example.com \

07 --key-algorithm rsa_2048

O comando cria uma entrada de certificado que guarda a solicitação no seu campo csr. A entrada fica como pending até que você adicione o certificado que a sua CA assinar.

Para ler a solicitação, encontre o ID da entrada com azion list digital-certificate --details e depois descreva a entrada:

azion describe digital-certificate --digital-certificate-id <certificate-id> --format json

O campo csr da saída guarda a solicitação, com cada quebra de linha escrita como \n. Converta essas sequências em quebras de linha antes de enviar a solicitação à sua CA.

API

Para criar a CSR com a API, envie uma requisição POST ao endpoint de CSR. key_algorithm recebe rsa_2048, rsa_4096 ou ecc_384:

Shell

01curl --request POST \

02 --url https://api.azion.com/v4/workspace/tls/csr \

03 --header 'Accept: application/json' \

04 --header 'Authorization: Token [TOKEN VALUE]' \

05 --header 'Content-Type: application/json' \

06 --data {

07 "name": "my-csr",

08 "common_name": "example.com",

09 "alternative_names": ["www.example.com"],

10 "country": "US",

11 "state": "California",

12 "locality": "San Francisco",

13 "organization": "Example Corp",

14 "organization_unity": "IT",

15 "email": "admin@example.com",

16 "key_algorithm": "rsa_2048"

17}

A API responde 201 com a nova entrada de certificado e o seu id. O campo csr da entrada guarda a solicitação, com cada quebra de linha escrita como \n. Converta essas sequências em quebras de linha antes de enviar a solicitação à sua CA. A entrada fica como pending até que você adicione o certificado assinado.

Uma solicitação que nomeia um hostname em um domínio para o qual a sua conta não tem permissão é recusada com This account cannot use certain common or alternative names because it does not have permission for their domain names. Para o significado de cada campo da CSR, consulte Certificados.

Envie a solicitação à CA da sua escolha, como DigiCert, GlobalSign ou IdenTrust. A CA valida os dados da solicitação e, depois de aprová-los, emite o certificado assinado.

Adicione o certificado assinado à entrada da CSR

O certificado que a sua CA assina completa a entrada que a solicitação de assinatura de certificado (CSR) criou. Adicione-o no Azion Console ou com a API, em formato PEM, incluindo as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.

Console

Para adicionar o certificado assinado no Azion Console:

Abra a página Certificate Manager

Acesse Azion Console > Certificate Manager.

Abra a entrada da CSR

Selecione a entrada que a CSR criou. A página Edit Digital Certificate dela abre.

Cole o certificado assinado

Em Certificate, cole o certificado que a sua CA assinou.

Salve a entrada

Selecione Save.

A entrada guarda o certificado assinado, e você pode vinculá-lo a um workload.

CLI

Este guia documenta esta tarefa no Azion Console e na API. Siga o procedimento pela API.

API

Para adicionar o certificado assinado com a API, envie uma requisição PATCH à entrada, com o certificado em certificate. Escreva cada quebra de linha como \n:

Shell

01curl --request PATCH \

02 --url https://api.azion.com/v4/workspace/tls/certificates/<certificate-id> \

03 --header 'Accept: application/json' \

04 --header 'Authorization: Token [TOKEN VALUE]' \

05 --header 'Content-Type: application/json' \

06 --data {

07 "certificate": "-----BEGIN CERTIFICATE-----\n<certificate-body>\n-----END CERTIFICATE-----\n"

08}

A API responde 200. A entrada guarda o certificado assinado, e você pode vinculá-lo a um workload.

Vincule o certificado ao workload

Um workload usa um certificado de servidor depois que o seu campo tls.certificate guarda o ID do certificado. A partir dessa atualização, o certificado fica como active. Garanta que o certificado cubra os hostnames que o workload lista nos seus domínios: a API aceita um certificado cujos nomes não correspondem a eles.

Console

Para vincular o certificado no Azion Console:

Abra a página Workloads

Acesse Azion Console > Workloads.

Abra o workload

Selecione o workload que lista o seu domínio. O formulário de edição dele abre.

Ative o suporte a HTTPS

Em Protocol Settings, ative HTTPS support se estiver desativado.

Selecione o certificado

Em Digital Certificate, selecione o seu certificado no grupo My certificates.

Salve o workload

Selecione Save.

Azion Console mostra “Your workload has been updated”.

CLI

Para vincular o certificado com a Azion CLI, salve um arquivo JSON com o ID do workload e o objeto tls, aqui como tls.json. Mantenha ciphers e minimum_version nos valores que o workload já tem. Este exemplo mostra os padrões de um novo workload:

JSON

01{

02 "id": <workload-id>,

03 "tls": { "certificate": <certificate-id>, "ciphers": 7, "minimum_version": "tls_1_3" }

04}

Atualize o workload com o arquivo:

azion update workload --file tls.json

O comando imprime o ID do workload que ele atualizou:

Updated Workload with ID <workload-id>

Para confirmar o vínculo, liste os seus certificados:

azion list digital-certificate --details

Este trecho da saída mostra o certificado como active:

Texto

01ID NAME STATUS ISSUER VALIDITY TYPE MANAGED ...

02<certificate-id> my-certificate active 2026-01-31 12:00:00+00:00 edge_certificate false ...

API

Para vincular o certificado com a API, envie uma requisição PATCH ao workload com o objeto tls. Mantenha ciphers e minimum_version nos valores que o workload já tem. Este exemplo mostra os padrões de um novo workload:

Shell

01curl --request PATCH \

02 --url https://api.azion.com/v4/workspace/workloads/<workload-id> \

03 --header 'Accept: application/json' \

04 --header 'Authorization: Token [TOKEN VALUE]' \

05 --header 'Content-Type: application/json' \

06 --data {

07 "tls": { "certificate": <certificate-id>, "ciphers": 7, "minimum_version": "tls_1_3" }

08}

A API aceita a atualização, e o workload passa a nomear o certificado em tls.certificate.

Um certificado de CA confiável em tls.certificate é recusado com Invalid certificate type, MUST be an Edge Certificate. Para voltar ao certificado da própria Azion, selecione Azion (SAN) em Digital Certificate, ou envie null em tls.certificate.

Vincular um certificado é uma mudança no workload, que leva vários minutos para chegar a toda a infraestrutura distribuída da Azion. Enquanto isso, as requisições podem receber a configuração antiga ou a nova. Para erros de certificado e as suas correções, consulte Solucionar problemas de Workloads.

Substitua um certificado antes que ele expire

Um certificado que você envia não se renova sozinho e, depois que a sua data de validity passa, ele deixa de proteger o tráfego. Para substituí-lo, envie o novo certificado como descreve Envie um certificado de servidor e depois vincule-o como descreve Vincule o certificado ao workload. A entrada antiga fica como inactive quando nenhum workload a nomeia. Exclua-a depois que o novo certificado estiver active e a mudança tiver se propagado.

Para saber por que trocar enquanto o certificado antigo ainda é válido, consulte Boas práticas de Workloads.

Próximos passos

Solicite um certificado Let's EncryptFaça a Azion solicitar e renovar um certificado para o seu domínio em vez de enviar um.Configure mTLS em um workloadEnvie um certificado de CA confiável e exija certificados de cliente no workload.CertificadosConsulte os campos de certificado, os algoritmos de chave, os status e os erros que a API retorna.Solucionar problemas de WorkloadsEncontre a causa de um erro de certificado e a correção para ele.