Com aconseguir un certificat SSL gratuït

Què fa un certificat SSL

A rigor, les connexions d'avui fan servir TLS, el successor de l'SSL, però tothom continua dient «certificat SSL». Un certificat fa dues coses:

• Xifratge: les contrasenyes, els formularis i els pagaments viatgen xifrats, de manera que ningú a la xarxa no els pot llegir ni modificar.
• Identitat: una autoritat de certificació (CA) ha comprovat que qui ha demanat el certificat controla el domini.

Els certificats gratuïts són validats per domini (DV): la CA comprova que controles el domini, i res més. El xifratge és exactament igual de fort que el d'un certificat de pagament. Els certificats OV i EV de pagament afegeixen comprovacions sobre l'organització que hi ha darrere del web, cosa que algunes empreses volen, però els navegadors mostren el mateix cadenat per a tots.

Les opcions gratuïtes, comparades

Tots xifren igual de bé. La diferència és com s'emeten i es renoven, i això importa més cada any.

Per què és important la renovació automàtica

Els certificats duren cada vegada menys a tot el sector. Segons les normes del CA/Browser Forum, un certificat públic pot durar com a màxim 200 dies des del març del 2026, 100 dies a partir del març del 2027 i 47 dies a partir del març del 2029.

Els certificats de Let's Encrypt duren 90 dies avui. Els seus certificats per defecte passen a 64 dies el febrer del 2027 i a 45 dies el febrer del 2028. A més, Let's Encrypt va deixar d'enviar correus de recordatori de caducitat el 2025, així que ningú no t'avisarà abans que un certificat caduqui.

La lliçó pràctica: no renovis mai els certificats a mà. Fes servir alguna eina que els renovi sola, com ara AutoSSL a cPanel o Certbot en un VPS, i comprova de tant en tant que funciona.

En allotjament compartit: AutoSSL a cPanel

En un allotjament amb cPanel normalment no has de fer res. AutoSSL demana un certificat de Let's Encrypt per a cada domini del compte que apunta al servidor, l'instal·la i el renova abans que caduqui.

1. Fes que el domini apunti a l'allotjament: configura els servidors de noms o el registre A que t'ha donat el proveïdor i espera que el DNS s'actualitzi.
2. A cPanel, obre Security → SSL/TLS Status. Per a cada domini hi veuràs si està cobert, si està a punt de caducar o si té algun problema amb AutoSSL.
3. Si un domini encara no està cobert, fes clic a Run AutoSSL. Només funciona quan el domini ja resol al servidor.
4. Obre el web amb https:// i comprova el cadenat. Amb WordPress, posa també l'adreça del lloc amb https://.

A l'allotjament web de HytHost, AutoSSL amb Let's Encrypt està activat en tots els plans i cobreix cada domini i subdomini que afegeixis tan bon punt apunti al servidor. Què més fa cPanel ho trobaràs a què és cPanel.

En un VPS: Certbot amb nginx

Al teu propi servidor, Certbot, de l'EFF, obté els certificats de Let's Encrypt i els renova. El mètode oficial a Ubuntu fa servir el paquet snap:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Assegura't que el registre A del domini apunta al VPS, que nginx té un server_name per a aquest domini i que els ports 80 i 443 estan oberts al tallafoc. Després executa:

sudo certbot --nginx -d example.com -d www.example.com

Certbot demostra que controles el domini, instal·la el certificat a la configuració de nginx i pot redirigir HTTP a HTTPS. També instal·la un temporitzador que renova els certificats automàticament. Prova la renovació un cop:

sudo certbot renew --dry-run

Darrere de Cloudflare

Si el teu domini passa per Cloudflare amb el núvol taronja activat, els visitants es connecten a Cloudflare, que els mostra el seu certificat gratuït Universal SSL. Això només cobreix la meitat del trajecte: Cloudflare continua connectant-se al teu servidor.

• Posa el mode SSL/TLS a Full (strict). Aleshores Cloudflare exigeix un certificat vàlid al teu servidor, de manera que tot el camí queda xifrat i verificat.
• Dona un certificat al teu servidor: serveix Let's Encrypt amb AutoSSL o Certbot, o un certificat gratuït de Cloudflare Origin CA. En un certificat Origin CA només hi confia Cloudflare, així que si mai desactives el proxy els visitants veuran errors.
• Evita el mode Flexible. Deixa sense xifrar la connexió amb el teu servidor i sovint provoca bucles de redirecció.

Problemes habituals d'SSL i com resoldre'ls

• El certificat no s'emet: el domini encara no apunta al servidor, o el DNS encara té l'adreça antiga a la memòria cau. Comprova el registre A i espera.
• Un registre CAA el bloqueja: si el teu DNS té registres CAA, han de permetre la CA que fas servir, per exemple 0 issue "letsencrypt.org".
• La validació falla en un VPS: Let's Encrypt comprova pel port 80 per defecte, així que mantén el port 80 obert encara que el web redirigeixi a HTTPS.
• «No segur» malgrat tenir certificat: la pàgina carrega imatges o scripts per http:// (contingut mixt). Canvia aquests enllaços a https://.
• Un certificat wildcard: *.example.com requereix validació per DNS, així que només funciona amb un connector de DNS o un proveïdor que pugui crear el registre de verificació.
• El certificat ha caducat: la renovació automàtica ha deixat de funcionar. Revisa la pàgina SSL/TLS Status de cPanel, o en un VPS executa certbot renew --dry-run i llegeix l'error.