Ingyenes SSL-tanúsítvány: így szerezhetsz egyet

Mire jó az SSL-tanúsítvány

Szigorúan véve a mai kapcsolatok a TLS-t, az SSL utódját használják, de mindenki továbbra is „SSL-tanúsítványt” mond. A tanúsítvány két dolgot tesz:

• Titkosítás: a jelszavak, űrlapok és fizetések kódolva utaznak, így a hálózaton senki sem tudja elolvasni vagy megváltoztatni őket.
• Azonosság: egy hitelesítésszolgáltató (CA) ellenőrizte, hogy aki a tanúsítványt kérte, az rendelkezik a domain felett.

Az ingyenes tanúsítványok domainszinten hitelesítettek (DV): a CA csak azt ellenőrzi, hogy te rendelkezel a domain felett, semmi többet. A titkosítás pontosan olyan erős, mint egy fizetős tanúsítványé. A fizetős OV és EV tanúsítványok az oldal mögött álló szervezetet is ellenőrzik, amit egyes cégek igényelnek, de a böngészők mindegyiknél ugyanazt a lakatot mutatják.

Az ingyenes lehetőségek összehasonlítása

Mindegyik ugyanolyan jól titkosít. A különbség a kiállítás és a megújítás módjában van, és ez évről évre fontosabb.

Miért fontos az automatikus megújítás

A tanúsítványok élettartama az egész iparágban rövidül. A CA/Browser Forum szabályai szerint egy nyilvános tanúsítvány 2026 márciusa óta legfeljebb 200 napig, 2027 márciusától 100 napig, 2029 márciusától pedig 47 napig lehet érvényes.

A Let's Encrypt tanúsítványai ma 90 napig érvényesek. Az alapértelmezett tanúsítványai 2027 februárjában 64 napra, 2028 februárjában 45 napra rövidülnek. A Let's Encrypt 2025-ben a lejárati emlékeztető e-maileket is megszüntette, így senki sem figyelmeztet, mielőtt egy tanúsítvány lejár.

A gyakorlati tanulság: soha ne újítsd meg kézzel a tanúsítványokat. Használj olyasmit, ami magától megújítja őket, például az AutoSSL-t cPanelben vagy a Certbotot VPS-en, és időnként ellenőrizd, hogy működik-e.

Megosztott tárhelyen: AutoSSL a cPanelben

cPaneles tárhelyen általában semmi dolgod nincs vele. Az AutoSSL a fiók minden olyan domainjéhez, amely a szerverre mutat, Let's Encrypt tanúsítványt kér, telepíti, és lejárat előtt megújítja.

1. Irányítsd a domaint a tárhelyre: állítsd be a szolgáltatótól kapott névszervereket vagy A rekordot, és várd meg, amíg a DNS frissül.
2. A cPanelben nyisd meg a Security → SSL/TLS Status oldalt. Minden domainnél látod, hogy le van-e fedve, hamarosan lejár-e, vagy van-e AutoSSL-hiba.
3. Ha egy domain még nincs lefedve, kattints a Run AutoSSL gombra. Ez csak akkor működik, ha a domain már a szerverre mutat.
4. Nyisd meg az oldalt https:// előtaggal, és nézd meg a lakatot. WordPressnél a webhely címét is állítsd https:// előtagúra.

A HytHost webtárhelyen az AutoSSL Let's Encrypt tanúsítványokkal minden csomagon be van kapcsolva, és minden hozzáadott domaint és aldomaint lefed, amint az a szerverre mutat. Hogy a cPanel mi mindenre képes még, azt a mi az a cPanel útmutatóban olvashatod.

VPS-en: Certbot nginx-szel

Saját szerveren az EFF által fejlesztett Certbot szerzi be és újítja meg a Let's Encrypt tanúsítványokat. A hivatalos módszer Ubuntun a snap csomagot használja:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Ellenőrizd, hogy a domain A rekordja a VPS-re mutat, az nginx-ben van hozzá server_name, és a 80-as és 443-as port nyitva van a tűzfalon. Ezután futtasd:

sudo certbot --nginx -d example.com -d www.example.com

A Certbot igazolja, hogy te rendelkezel a domain felett, telepíti a tanúsítványt az nginx konfigurációdba, és át tudja irányítani a HTTP-t HTTPS-re. Egy időzítőt is telepít, amely automatikusan megújítja a tanúsítványokat. Egyszer teszteld a megújítást:

sudo certbot renew --dry-run

Cloudflare mögött

Ha a domained a Cloudflare-en keresztül fut bekapcsolt narancssárga felhővel, a látogatók a Cloudflare-hez kapcsolódnak, amely az ingyenes Universal SSL tanúsítványát mutatja nekik. Ez csak az út felét fedi le: a Cloudflare továbbra is a szerveredhez kapcsolódik.

• Állítsd az SSL/TLS módot Full (strict) értékre. Ekkor a Cloudflare érvényes tanúsítványt követel meg a szervereden, így a teljes útvonal titkosított és ellenőrzött.
• Adj tanúsítványt a szerverednek: megfelel a Let's Encrypt AutoSSL-lel vagy Certbottal, vagy egy ingyenes Cloudflare Origin CA tanúsítvány. Az Origin CA tanúsítványt csak a Cloudflare fogadja el, így ha valaha kikapcsolod a proxyt, a látogatók hibát látnak.
• Kerüld a Flexible módot. Titkosítatlanul hagyja a szervered felé menő kapcsolatot, és gyakran átirányítási hurkot okoz.

Gyakori SSL-problémák és megoldásuk

• Nem készül el a tanúsítvány: a domain még nem a szerverre mutat, vagy a DNS még a régi címet tartja gyorsítótárban. Ellenőrizd az A rekordot, és várj.
• Egy CAA rekord blokkolja: ha a DNS-edben vannak CAA rekordok, azoknak engedélyezniük kell az általad használt CA-t, például 0 issue "letsencrypt.org".
• VPS-en elbukik az ellenőrzés: a Let's Encrypt alapértelmezés szerint a 80-as porton ellenőriz, ezért hagyd nyitva a 80-as portot akkor is, ha az oldal HTTPS-re irányít át.
• „Nem biztonságos” a tanúsítvány ellenére: az oldal képeket vagy szkripteket tölt be http:// címről (vegyes tartalom). Írd át ezeket a linkeket https:// címre.
• Wildcard tanúsítvány: a *.example.com DNS-alapú ellenőrzést igényel, ezért csak olyan DNS-bővítménnyel vagy szolgáltatóval működik, amely létre tudja hozni az ellenőrző rekordot.
• Lejárt a tanúsítvány: leállt az automatikus megújítás. Nézd meg a cPanel SSL/TLS Status oldalát, VPS-en pedig futtasd a certbot renew --dry-run parancsot, és olvasd el a hibaüzenetet.