HTTPS и локальный CA

.knot не является публичной DNS-зоной, поэтому обычный Let’s Encrypt не может быть универсальным механизмом для canonical KnotRoute identities. Для совместимости с браузерным HTTPS используется локальный CA клиента.

Два разных слоя доверия

Важно разделять:

SVG ↗

Браузер доверяет локальному proxy, а KnotRoute core независимо проверяет service identity.

Какие адреса поддерживают HTTPS

Локальное TLS-завершение применяется ко всем разрешаемым .knot-именам:

https://<service-identity>.knot/
https://web.<node-identity>.knot/
https://<local-alias>.knot/

Для service.node.knot браузерный TLS завершается на клиенте, а внутрь KnotRoute передаётся обычный HTTP к выбранному service listener. Поэтому удалённому приложению не требуется собственный TLS только ради .knot.

Если клиент старой версии просто туннелирует CONNECT к plaintext HTTP service, браузер получает ERR_SSL_PROTOCOL_ERROR. Обновите клиент: это не ошибка сертификата и не требует включать TLS на sidecar target.

Что хранится на клиенте

Локальный CA состоит из:

• root public certificate;
• root private key;
• short-lived generated .knot leaf certificates.

Private key должен оставаться только на конкретном устройстве.

Что должен делать владелец сайта

Для private .knot publication приложению обычно достаточно HTTP listener внутри host/Docker network:

sidecar → app:8080

Публичный WebPKI certificate на app:8080 не требуется, если этот listener используется только KnotRoute sidecar.

Если тот же app одновременно доступен через обычный Internet hostname, публичный TLS остаётся обязанностью Traefik/Caddy/nginx как обычно.

Ошибка сертификата

Если браузер показывает certificate warning, не обходите его. Проверьте:

1. CA установлен на текущем устройстве.
2. Browser использует соответствующий trust store.
3. Browser действительно идёт через KnotRoute proxy.
4. Системное время корректно.
5. Hostname заканчивается на .knot.

Почему нет общего сетевого CA

Общий CA создал бы один extremely sensitive private key, компрометация которого затронула бы всех клиентов. Локальная схема ограничивает последствия конкретным устройством и не делает Control/Beacon CA-authority сети.

Исходник