Kuidas saada tasuta SSL-sertifikaat

Mida SSL-sertifikaat teeb

Rangelt võttes kasutavad tänapäeva ühendused TLS-i, SSL-i järglast, kuid kõik ütlevad endiselt „SSL-sertifikaat“. Sertifikaat teeb kahte asja:

• Krüpteerimine: paroolid, vormid ja maksed liiguvad krüpteeritult, nii et keegi võrgus ei saa neid lugeda ega muuta.
• Identiteet: sertifitseerimiskeskus (CA) on kontrollinud, et sertifikaadi taotleja kontrollib domeeni.

Tasuta sertifikaadid on domeenikinnitusega (DV): CA kontrollib, et domeen on sinu kontrolli all, ja muud mitte midagi. Krüpteering on täpselt sama tugev kui tasulisel sertifikaadil. Tasulised OV- ja EV-sertifikaadid kontrollivad lisaks lehe taga olevat organisatsiooni, mida mõned ettevõtted soovivad, kuid brauserid näitavad kõigi puhul sama tabalukku.

Tasuta valikute võrdlus

Kõik krüpteerivad võrdselt hästi. Erinevus on selles, kuidas neid väljastatakse ja uuendatakse, ning see muutub iga aastaga olulisemaks.

Miks automaatne uuendamine on oluline

Sertifikaatide eluiga lüheneb kogu valdkonnas. CA/Browser Forumi reeglite järgi võib avalik sertifikaat kehtida kõige rohkem 200 päeva alates märtsist 2026, 100 päeva alates märtsist 2027 ja 47 päeva alates märtsist 2029.

Let's Encrypti sertifikaadid kehtivad praegu 90 päeva. Selle vaikimisi sertifikaadid lühenevad veebruaris 2027 64 päevale ja veebruaris 2028 45 päevale. Lisaks lõpetas Let's Encrypt 2025. aastal aegumise meeldetuletuste saatmise e-postiga, nii et keegi ei hoiata sind enne, kui sertifikaat aegub.

Praktiline õppetund: ära kunagi uuenda sertifikaate käsitsi. Kasuta midagi, mis uuendab neid ise, näiteks AutoSSL-i cPanelis või Certboti VPS-is, ja kontrolli aeg-ajalt, et see töötab.

Jagatud majutuses: AutoSSL cPanelis

cPaneliga majutuses ei pea tavaliselt midagi tegema. AutoSSL taotleb Let's Encrypti sertifikaadi igale kontol olevale domeenile, mis on serverile suunatud, paigaldab selle ja uuendab enne aegumist.

1. Suuna domeen majutusele: määra nimeserverid või A-kirje, mille majutaja sulle andis, ja oota, kuni DNS uueneb.
2. Ava cPanelis Security → SSL/TLS Status. Iga domeeni juures on näha, kas see on kaetud, aegumas või on AutoSSL-iga probleem.
3. Kui domeen pole veel kaetud, klõpsa Run AutoSSL. See töötab alles siis, kui domeen on serverile suunatud.
4. Ava oma leht aadressiga https:// ja kontrolli tabalukku. WordPressi puhul määra ka saidi aadressiks https://.

HytHosti veebimajutuses on AutoSSL koos Let's Encryptiga sisse lülitatud igas paketis ja katab iga lisatud domeeni ja alamdomeeni kohe, kui see serverile osutab. Mida cPanel veel teeb, loe juhendist mis on cPanel.

VPS-is: Certbot ja nginx

Oma serveris hangib ja uuendab Let's Encrypti sertifikaate EFF-i tööriist Certbot. Ametlik meetod Ubuntus kasutab snap-paketti:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Veendu, et domeeni A-kirje osutab VPS-ile, et nginxis on selle jaoks server_name ja et pordid 80 ja 443 on tulemüüris avatud. Seejärel käivita:

sudo certbot --nginx -d example.com -d www.example.com

Certbot tõendab, et domeen on sinu kontrolli all, paigaldab sertifikaadi sinu nginxi seadistusse ja oskab HTTP suunata HTTPS-ile. Samuti paigaldab see taimeri, mis uuendab sertifikaate automaatselt. Testi uuendamist korra:

sudo certbot renew --dry-run

Cloudflare'i taga

Kui sinu domeen käib läbi Cloudflare'i ja oranž pilv on sisse lülitatud, ühenduvad külastajad Cloudflare'iga, mis näitab neile oma tasuta Universal SSL-sertifikaati. See katab ainult poole teekonnast: Cloudflare ühendub endiselt sinu serveriga.

• Sea SSL/TLS-režiimiks Full (strict). Siis nõuab Cloudflare sinu serverilt kehtivat sertifikaati, nii et kogu teekond on krüpteeritud ja kontrollitud.
• Anna serverile sertifikaat: sobib Let's Encrypt AutoSSL-i või Certboti kaudu või tasuta Cloudflare Origin CA sertifikaat. Origin CA sertifikaati usaldab ainult Cloudflare, nii et kui lülitad proksi kunagi välja, näevad külastajad vigu.
• Väldi Flexible-režiimi. See jätab ühenduse sinu serveriga krüpteerimata ja põhjustab sageli ümbersuunamistsükleid.

Levinud SSL-probleemid ja lahendused

• Sertifikaati ei väljastata: domeen ei osuta veel serverile või DNS-i vahemälus on endiselt vana aadress. Kontrolli A-kirjet ja oota.
• CAA-kirje blokeerib: kui sinu DNS-is on CAA-kirjeid, peavad need lubama sinu kasutatavat CA-d, näiteks 0 issue "letsencrypt.org".
• Kinnitamine VPS-is ebaõnnestub: Let's Encrypt kontrollib vaikimisi pordi 80 kaudu, seega hoia port 80 avatuna ka siis, kui leht suunab HTTPS-ile.
• „Pole turvaline“ hoolimata sertifikaadist: leht laadib pilte või skripte üle http:// (segasisu). Muuda need lingid kujule https://.
• Wildcard-sertifikaat: *.example.com nõuab DNS-i kaudu kinnitamist, seega töötab see ainult DNS-i plugina või teenusepakkujaga, mis oskab kinnituskirje luua.
• Sertifikaat on aegunud: automaatne uuendamine lakkas töötamast. Kontrolli cPanelis lehte SSL/TLS Status või käivita VPS-is certbot renew --dry-run ja loe veateadet.