Jak získat SSL certifikát zdarma

Co dělá SSL certifikát

Přesně vzato dnešní spojení používají TLS, nástupce SSL, ale všichni pořád říkají „SSL certifikát“. Certifikát dělá dvě věci:

• Šifrování: hesla, formuláře a platby putují zašifrované, takže je nikdo v síti nemůže přečíst ani změnit.
• Identita: certifikační autorita (CA) ověřila, že ten, kdo o certifikát požádal, má doménu pod kontrolou.

Bezplatné certifikáty jsou ověřené doménou (DV): CA zkontroluje, že doménu ovládáte, nic víc. Šifrování je přesně stejně silné jako u placeného certifikátu. Placené certifikáty OV a EV navíc prověřují organizaci, která za webem stojí, což některé firmy chtějí, ale prohlížeče u všech zobrazují stejný zámek.

Srovnání bezplatných možností

Všechny šifrují stejně dobře. Liší se tím, jak se vydávají a obnovují, a to je rok od roku důležitější.

Proč je automatická obnova důležitá

Platnost certifikátů se v celém odvětví zkracuje. Podle pravidel CA/Browser Forum smí veřejný certifikát platit nejvýše 200 dní od března 2026, 100 dní od března 2027 a 47 dní od března 2029.

Certifikáty Let's Encrypt dnes platí 90 dní. Jeho výchozí certifikáty se v únoru 2027 zkrátí na 64 dní a v únoru 2028 na 45 dní. Let's Encrypt navíc v roce 2025 přestal posílat e-maily s upozorněním na konec platnosti, takže vás nikdo nevaruje, než certifikát vyprší.

Praktické ponaučení: nikdy neobnovujte certifikáty ručně. Použijte něco, co je obnovuje samo, například AutoSSL v cPanelu nebo Certbot na VPS, a čas od času zkontrolujte, že to funguje.

Na sdíleném hostingu: AutoSSL v cPanelu

Na hostingu s cPanelem obvykle nemusíte dělat nic. AutoSSL si vyžádá certifikát Let's Encrypt pro každou doménu v účtu, která směřuje na server, nainstaluje ho a obnoví ho dřív, než vyprší.

1. Nasměrujte doménu na hosting: nastavte nameservery nebo záznam A, které vám poskytovatel hostingu dal, a počkejte, až se DNS aktualizuje.
2. V cPanelu otevřete Security → SSL/TLS Status. U každé domény uvidíte, jestli je pokrytá, jestli jí končí platnost, nebo jestli má s AutoSSL problém.
3. Pokud doména ještě pokrytá není, klikněte na Run AutoSSL. Funguje to až ve chvíli, kdy doména směřuje na server.
4. Otevřete web přes https:// a zkontrolujte zámek. U WordPressu nastavte na https:// i adresu webu.

Na webhostingu HytHost je AutoSSL s Let's Encrypt zapnuté u každého tarifu a pokryje každou doménu i subdoménu, kterou přidáte, jakmile směřuje na server. Co dalšího cPanel umí, najdete v článku co je cPanel.

Na VPS: Certbot s nginx

Na vlastním serveru získává a obnovuje certifikáty Let's Encrypt Certbot od EFF. Oficiální postup na Ubuntu používá balíček snap:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Ujistěte se, že záznam A vaší domény směřuje na VPS, že nginx pro ni má server_name a že porty 80 a 443 jsou ve firewallu otevřené. Pak spusťte:

sudo certbot --nginx -d example.com -d www.example.com

Certbot ověří, že doménu ovládáte, nainstaluje certifikát do konfigurace nginx a umí přesměrovat HTTP na HTTPS. Nainstaluje také časovač, který certifikáty obnovuje automaticky. Obnovu si jednou vyzkoušejte:

sudo certbot renew --dry-run

Za Cloudflare

Pokud vaše doména běží přes Cloudflare se zapnutým oranžovým obláčkem, návštěvníci se připojují ke Cloudflare, který jim ukáže svůj bezplatný certifikát Universal SSL. To ale pokrývá jen polovinu cesty: Cloudflare se dál připojuje k vašemu serveru.

• Nastavte režim SSL/TLS na Full (strict). Cloudflare pak na vašem serveru vyžaduje platný certifikát, takže celá cesta je šifrovaná a ověřená.
• Dejte serveru certifikát: poslouží Let's Encrypt přes AutoSSL nebo Certbot, případně bezplatný certifikát Cloudflare Origin CA. Certifikátu Origin CA důvěřuje jen Cloudflare, takže pokud proxy někdy vypnete, návštěvníci uvidí chyby.
• Vyhněte se režimu Flexible. Spojení s vaším serverem nechává nešifrované a často způsobuje smyčky přesměrování.

Časté problémy s SSL a jejich řešení

• Certifikát se nevydá: doména ještě nesměřuje na server, nebo DNS má pořád v mezipaměti starou adresu. Zkontrolujte záznam A a počkejte.
• Blokuje to záznam CAA: pokud máte v DNS záznamy CAA, musí povolovat CA, kterou používáte, například 0 issue "letsencrypt.org".
• Ověření na VPS selhává: Let's Encrypt ve výchozím stavu ověřuje přes port 80, takže port 80 nechte otevřený, i když web přesměrovává na HTTPS.
• „Nezabezpečeno“ i s certifikátem: stránka načítá obrázky nebo skripty přes http:// (smíšený obsah). Změňte tyto odkazy na https://.
• Wildcard certifikát: *.example.com vyžaduje ověření přes DNS, takže funguje jen s DNS pluginem nebo poskytovatelem, který umí ověřovací záznam vytvořit.
• Certifikát vypršel: automatická obnova přestala fungovat. Zkontrolujte stránku SSL/TLS Status v cPanelu, nebo na VPS spusťte certbot renew --dry-run a přečtěte si chybu.