Cum obții un certificat SSL gratuit

Ce face un certificat SSL

Tehnic vorbind, conexiunile de azi folosesc TLS, succesorul SSL, dar toată lumea spune în continuare „certificat SSL”. Un certificat face două lucruri:

• Criptare: parolele, formularele și plățile circulă codificate, așa că nimeni din rețea nu le poate citi sau modifica.
• Identitate: o autoritate de certificare (CA) a verificat că cel care a cerut certificatul controlează domeniul.

Certificatele gratuite sunt validate la nivel de domeniu (DV): CA-ul verifică doar că tu controlezi domeniul. Criptarea e exact la fel de puternică ca la un certificat plătit. Certificatele plătite OV și EV adaugă verificări ale organizației din spatele site-ului, pe care unele firme le vor, dar browserele afișează același lacăt pentru toate.

Variantele gratuite, comparate

Toate criptează la fel de bine. Diferența stă în modul în care sunt emise și reînnoite, iar asta contează tot mai mult de la an la an.

De ce contează reînnoirea automată

Certificatele au o durată de viață tot mai scurtă în toată industria. Conform regulilor CA/Browser Forum, un certificat public poate fi valabil cel mult 200 de zile din martie 2026, 100 de zile din martie 2027 și 47 de zile din martie 2029.

Certificatele Let's Encrypt sunt valabile azi 90 de zile. Certificatele sale implicite trec la 64 de zile în februarie 2027 și la 45 de zile în februarie 2028. În plus, Let's Encrypt a încetat în 2025 să mai trimită e-mailuri de avertizare înainte de expirare, așa că nimeni nu te mai anunță că un certificat e pe cale să expire.

Concluzia practică: nu reînnoi niciodată certificatele de mână. Folosește ceva care le reînnoiește singur, cum ar fi AutoSSL în cPanel sau Certbot pe un VPS, și verifică din când în când că funcționează.

Pe hosting partajat: AutoSSL în cPanel

Pe un hosting cu cPanel, de obicei nu ai nimic de făcut. AutoSSL cere un certificat Let's Encrypt pentru fiecare domeniu din cont care e îndreptat spre server, îl instalează și îl reînnoiește înainte să expire.

1. Îndreaptă domeniul spre hosting: setează nameserverele sau înregistrarea A primite de la furnizor și așteaptă să se actualizeze DNS-ul.
2. În cPanel, deschide Security → SSL/TLS Status. Pentru fiecare domeniu vezi dacă e acoperit, dacă expiră curând sau dacă are o problemă cu AutoSSL.
3. Dacă un domeniu nu e încă acoperit, apasă Run AutoSSL. Funcționează doar după ce domeniul răspunde de pe server.
4. Deschide site-ul cu https:// și verifică lacătul. Pe WordPress, setează și adresa site-ului pe https://.

Pe web hosting-ul HytHost, AutoSSL cu Let's Encrypt e activ pe fiecare plan și acoperă fiecare domeniu și subdomeniu pe care îl adaugi, imediat ce e îndreptat spre server. Ce mai face cPanel afli în ce este cPanel.

Pe un VPS: Certbot cu nginx

Pe propriul server, Certbot de la EFF obține certificate Let's Encrypt și le reînnoiește. Metoda oficială pe Ubuntu folosește pachetul snap:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Asigură-te că înregistrarea A a domeniului e îndreptată spre VPS, că nginx are un server_name pentru el și că porturile 80 și 443 sunt deschise în firewall. Apoi rulează:

sudo certbot --nginx -d example.com -d www.example.com

Certbot dovedește că tu controlezi domeniul, instalează certificatul în configurația nginx și poate redirecționa HTTP spre HTTPS. Instalează și un timer care reînnoiește certificatele automat. Testează o dată reînnoirea:

sudo certbot renew --dry-run

În spatele Cloudflare

Dacă domeniul tău trece prin Cloudflare cu norul portocaliu activ, vizitatorii se conectează la Cloudflare, care le arată certificatul său gratuit Universal SSL. Asta acoperă doar jumătate din drum: Cloudflare se conectează în continuare la serverul tău.

• Setează modul SSL/TLS pe Full (strict). Cloudflare cere atunci un certificat valid pe serverul tău, așa că tot traseul e criptat și verificat.
• Pune un certificat pe server: merge Let's Encrypt prin AutoSSL sau Certbot, ori un certificat gratuit Cloudflare Origin CA. Un certificat Origin CA e recunoscut doar de Cloudflare, așa că vizitatorii vor vedea erori dacă dezactivezi vreodată proxy-ul.
• Evită modul Flexible. Lasă necriptată conexiunea spre serverul tău și provoacă adesea bucle de redirecționare.

Probleme frecvente cu SSL și soluții

• Certificatul nu se emite: domeniul nu e încă îndreptat spre server sau DNS-ul mai ține în cache adresa veche. Verifică înregistrarea A și așteaptă.
• O înregistrare CAA îl blochează: dacă DNS-ul tău are înregistrări CAA, ele trebuie să permită CA-ul pe care îl folosești, de exemplu 0 issue "letsencrypt.org".
• Validarea eșuează pe un VPS: Let's Encrypt verifică implicit pe portul 80, așa că lasă portul 80 deschis chiar dacă site-ul redirecționează spre HTTPS.
• „Nesecurizat” deși ai certificat: pagina încarcă imagini sau scripturi prin http:// (conținut mixt). Schimbă acele linkuri în https://.
• Un certificat wildcard: *.example.com cere validare prin DNS, deci funcționează doar cu un plugin DNS sau un furnizor DNS care poate crea înregistrarea de verificare.
• Certificatul a expirat: reînnoirea automată nu mai funcționează. Verifică pagina SSL/TLS Status din cPanel sau rulează certbot renew --dry-run pe VPS și citește eroarea.