Revogar certificados
Revogar um certificado
DELETE /api/certificates/{id} revoga o certificado com esse id; a resposta não tem corpo. Depois da revogação, o dateRevoked do
certificado é preenchido.
As bibliotecas cliente o chamam com revokeCertificate(certificateId) (Python: revoke_certificate). Nem a API nem os clientes recebem
um motivo de revogação.
O cliente .NET o chama com RevokeCertificateAsync(certificateId).
- Revogar exige um papel que possa excluir certificados, como Operador ou Agente de Registro (veja Criar uma aplicação e uma chave de API).
- O Amplia registra só a data da revogação, e a API não tem chamada para desfazê-la.
- Revogar um certificado que já está revogado falha com o código de erro
CertificateAlreadyRevoked.
TODO(docs): nenhum sample mostra a revogação pela API.
No dashboard, usuários com o papel Registration Agent podem criar pedidos de certificado e revogar certificados, e nada mais.
Como a revogação é publicada
- O Amplia publica LCRs nos domínios de acesso que você escolher.
O certificado emitido os lista em
info.crlDistributionPoints. - O Amplia pode responder a requisições OCSP e pode copiar LCRs e certificados de AC para um armazenamento externo.
GET /api/cas/{caId}/crlslista as LCRs de uma AC, eGET /api/crls/{id}/contentbaixa uma delas.
Revogar não emite uma nova LCR: cada AC emite LCRs no seu próprio cronograma, a cada crlIssuePeriod, cada uma válida por
crlIssueValidity (os dois são campos da AC). Por isso, uma revogação aparece na próxima LCR programada da AC, em cerca de um
crlIssuePeriod. As entradas da LCR trazem o número de série e a data da revogação, sem código de motivo.
O respondedor OCSP do Amplia lê a revogação do banco de dados, então informa o certificado como revogado na hora, com o motivo
unspecified.
Renovação
O Amplia pode renovar certificados, e o titular recebe um novo certificado no lugar do que está vencendo.
TODO(docs): nenhum artigo documenta como renovar um certificado, pela API ou de outra forma.