Si administres FileMaker Server en una xarxa interna, segurament t’has topat amb el mur de l’SSL.

Els fluxos de treball moderns de FileMaker exigeixen un certificat TLS vàlid i de confiança pública: la Data API, OData, WebDirect i les connexions xifrades de clients pel port 5003 en depenen. Fins i tot les crides fetch() dins dels Web Viewers fallen silenciosament si el sistema operatiu no confia en el teu certificat.

Per què falla el botó integrat de Let’s Encrypt #

FileMaker Server inclou un botó pràctic “Request Let’s Encrypt Certificate” a l’Admin Console. El problema és que es basa en el repte HTTP-01 de Let’s Encrypt, que exigeix que Let’s Encrypt pugui arribar al teu servidor des d’Internet públic pel port 80.

Si el teu FileMaker Server té una IP privada de LAN, o si els ports 80 i 443 del teu router ja estan reservats per a un altre servidor web, HTTP-01 no pot funcionar mai. Prémer aquest botó només produirà un temps d’espera esgotat i consumirà els límits de validació de Let’s Encrypt.

La solució: validació DNS-01 #

En lloc de demostrar la propietat del domini per HTTP, el repte DNS-01 de Let’s Encrypt verifica un registre TXT temporal _acme-challenge a la zona DNS del teu domini.

Com que Let’s Encrypt només consulta el teu proveïdor de DNS:

• Zero ports d’entrada: el teu FileMaker Server roman completament privat darrere del tallafocs.
• Compatible amb IPs privades: el teu nom d’amfitrió pot resoldre a una adreça local 192.168.x.x (o fer servir DNS d’horitzó dividit) i continuar obtenint un certificat de confiança pública.
• Sense confiança manual al clauer: tots els clients de FileMaker Pro, FileMaker Go i WebDirect confien en el certificat des del primer moment.

👉 Vols veure tot el flux abans de començar? Fes clic aquí per obrir el mapa interactiu del cicle de vida del certificat — un recorregut visual per cada pas, des del repte DNS d’ACME fins a les recàrregues d’Apache i del Database Server.

Què conté la guia (i per què “instal·lar i oblidar-se’n” és més difícil del que sembla) #

Aconseguir el primer certificat amb certbot i un plugin de DNS (com IONOS, Cloudflare o Route53) és només la meitat de la batalla. Fer que les renovacions desateses de 90 dies funcionin de veritat en FileMaker Server sobre macOS té algunes arestes que vam aprendre a la força en producció:

1. Prompts de fmsadmin sense terminal: sota launchd, fmsadmin certificate import no té TTY — si les credencials no es passen explícitament des d’un fitxer d’entorn segur accessible només per root, el deploy hook avorta silenciosament.
2. Dos consumidors del certificat: importar el certificat no n’hi ha prou. Tant l’Apache integrat de FMS (port 443) com el Database Server (port 5003) emmagatzemen el certificat a la memòria cau de forma independent i requereixen recàrregues atòmiques amb launchctl kickstart -k.
3. Fallades de renovació silencioses: sense una verificació automàtica que comprovi tots dos ports, 443 i 5003, després de cada renovació, no sabràs que un hook ha fallat fins que el certificat antic caduqui 30 dies després.

Aconsegueix la guia completa i els scripts #

Hem publicat com a codi obert la nostra configuració completa i provada en producció a fms-letsencrypt-dns01, que inclou:

• Una guia pas a pas per a FileMaker Server en macOS fent servir Certbot en un entorn virtual de Python aïllat (/opt/certbot-venv) que sobreviu a les actualitzacions de Homebrew.
• Scripts de deploy hook i d’importació manual a punt per fer servir que gestionen les credencials de fmsadmin i recarreguen netament tant Apache com el Database Server.
• Plists de launchd per a comprovacions diàries de renovació i informes diaris de salut per correu que verifiquen la caducitat del certificat als ports 443 i 5003.
• Una autòpsia d’un incident real que detalla cada mode de fallada que els scripts estan dissenyats per prevenir.
• Un mapa interactiu del cicle de vida del certificat — fes-hi clic per recórrer tot el flux de renovació pas a pas.

👉 Llegeix la guia completa i descarrega els scripts a GitHub