Kako nabaviti besplatni SSL certifikat

Čemu služi SSL certifikat

Strogo govoreći, današnje veze koriste TLS, nasljednika SSL-a, ali svi i dalje kažu „SSL certifikat”. Certifikat radi dvije stvari:

• Šifriranje: lozinke, obrasci i plaćanja putuju šifrirani, pa ih nitko na mreži ne može pročitati ni izmijeniti.
• Identitet: certifikacijsko tijelo (CA) provjerilo je da onaj tko je zatražio certifikat upravlja domenom.

Besplatni certifikati su validirani na razini domene (DV): CA provjerava da upravljate domenom, ništa više. Šifriranje je jednako jako kao kod plaćenog certifikata. Plaćeni OV i EV certifikati dodaju provjere organizacije koja stoji iza stranice, što neke tvrtke žele, ali preglednici za sve njih prikazuju isti lokot.

Usporedba besplatnih opcija

Svi šifriraju jednako dobro. Razlika je u tome kako se izdaju i obnavljaju, a to je svake godine sve važnije.

Zašto je automatska obnova važna

Certifikati u cijeloj industriji traju sve kraće. Prema pravilima CA/Browser Foruma javni certifikat od ožujka 2026. smije trajati najviše 200 dana, od ožujka 2027. najviše 100 dana, a od ožujka 2029. najviše 47 dana.

Let's Encrypt certifikati danas traju 90 dana. Njegovi zadani certifikati prelaze na 64 dana u veljači 2027. i na 45 dana u veljači 2028. Let's Encrypt je 2025. prestao slati i e-poruke s podsjetnikom o isteku, pa vas nitko neće upozoriti prije nego što certifikat istekne.

Praktična pouka: nikad ne obnavljajte certifikate ručno. Koristite nešto što ih obnavlja samo, poput AutoSSL-a u cPanelu ili Certbota na VPS-u, i povremeno provjerite radi li to.

Na dijeljenom hostingu: AutoSSL u cPanelu

Na cPanel hostingu obično ne morate ništa raditi. AutoSSL zatraži Let's Encrypt certifikat za svaku domenu na računu koja je usmjerena na poslužitelj, instalira ga i obnovi prije nego što istekne.

1. Usmjerite domenu na hosting: postavite nameservere ili A zapis koje vam je dao pružatelj hostinga i pričekajte da se DNS ažurira.
2. U cPanelu otvorite Security → SSL/TLS Status. Uz svaku domenu piše je li pokrivena, ističe li uskoro ili ima problem s AutoSSL-om.
3. Ako domena još nije pokrivena, kliknite Run AutoSSL. To radi tek kad domena pokazuje na poslužitelj.
4. Otvorite stranicu s https:// i provjerite lokot. Kod WordPressa i adresu stranice postavite na https://.

Na HytHost web hostingu AutoSSL s Let's Encrypt certifikatima uključen je na svakom paketu i pokriva svaku domenu i poddomenu koju dodate, čim je usmjerena na poslužitelj. Što još cPanel radi, pročitajte u vodiču što je cPanel.

Na VPS-u: Certbot s nginxom

Na vlastitom poslužitelju Certbot organizacije EFF dohvaća Let's Encrypt certifikate i obnavlja ih. Službena metoda na Ubuntuu koristi snap paket:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Provjerite da A zapis domene pokazuje na VPS, da nginx za nju ima server_name i da su portovi 80 i 443 otvoreni u vatrozidu. Zatim pokrenite:

sudo certbot --nginx -d example.com -d www.example.com

Certbot dokazuje da upravljate domenom, instalira certifikat u vašu nginx konfiguraciju i može preusmjeriti HTTP na HTTPS. Postavlja i timer koji automatski obnavlja certifikate. Jednom testirajte obnovu:

sudo certbot renew --dry-run

Iza Cloudflarea

Ako vaša domena ide kroz Cloudflare s uključenim narančastim oblakom, posjetitelji se spajaju na Cloudflare, koji im pokazuje svoj besplatni Universal SSL certifikat. To pokriva samo pola puta: Cloudflare se i dalje spaja na vaš poslužitelj.

• Postavite SSL/TLS način na Full (strict). Cloudflare tada zahtijeva valjan certifikat na vašem poslužitelju, pa je cijeli put šifriran i provjeren.
• Dajte poslužitelju certifikat: radi Let's Encrypt preko AutoSSL-a ili Certbota, a može i besplatni Cloudflare Origin CA certifikat. Origin CA certifikatu vjeruje samo Cloudflare, pa će posjetitelji vidjeti greške ako ikad isključite proxy.
• Izbjegavajte način Flexible. On ostavlja vezu prema vašem poslužitelju nešifriranom i često uzrokuje petlje preusmjeravanja.

Česti problemi sa SSL-om i rješenja

• Certifikat se ne izdaje: domena još ne pokazuje na poslužitelj ili DNS još ima staru adresu u predmemoriji. Provjerite A zapis i pričekajte.
• Blokira ga CAA zapis: ako vaš DNS ima CAA zapise, oni moraju dopuštati CA koji koristite, na primjer 0 issue "letsencrypt.org".
• Validacija ne prolazi na VPS-u: Let's Encrypt prema zadanim postavkama provjerava preko porta 80, pa ostavite port 80 otvoren čak i ako stranica preusmjerava na HTTPS.
• „Nije sigurno” unatoč certifikatu: stranica učitava slike ili skripte preko http:// (miješani sadržaj). Promijenite te poveznice u https://.
• Wildcard certifikat: *.example.com zahtijeva DNS validaciju, pa radi samo s DNS dodatkom ili pružateljem koji može stvoriti zapis za provjeru.
• Certifikat je istekao: automatska obnova prestala je raditi. Provjerite stranicu SSL/TLS Status u cPanelu ili na VPS-u pokrenite certbot renew --dry-run i pročitajte grešku.