Un certificat Let's Encrypt se obține în câteva minute și se reînnoiește singur. Partea care se face greșit e ce urmează: redirect-ul, versiunile TLS și HSTS, antetul care spune browserului să nu mai încerce niciodată HTTP.
Let's Encrypt e o autoritate de certificare care emite certificate gratuite, automat, prin protocolul ACME. certbot dovedește că controlezi domeniul răspunzând la o cerere pe portul 80 (HTTP-01) sau printr-o înregistrare DNS (DNS-01, obligatoriu pentru wildcard). Certificatele sunt valabile 90 de zile tocmai ca reînnoirea să fie automatizată. Pachetul certbot instalează un timer systemd care încearcă reînnoirea de două ori pe zi; verifici că rulează și pui o alertă externă pe data de expirare.
Antetul Strict-Transport-Security îi spune browserului să folosească doar HTTPS pentru domeniul tău, pe durata max-age, chiar dacă utilizatorul tastează http:// sau dă clic pe un link vechi. Elimină fereastra în care un atacator din aceeași rețea poate intercepta prima cerere HTTP. Riscul e invers: dacă un subdomeniu nu are certificat valid și ai pus includeSubDomains, browserul îl blochează un an. De aceea activezi HSTS în trepte: max-age mic, apoi un an, apoi includeSubDomains și, la final, preload.
| Directivă | Valoare recomandată | Efect | Când o adaugi |
|---|---|---|---|
| max-age | 31536000 (1 an) | Browserul forțează HTTPS pe această durată | După ce tot site-ul merge pe HTTPS; începi cu o valoare mică |
| includeSubDomains | prezentă | Se aplică și tuturor subdomeniilor | Doar când fiecare subdomeniu are certificat valid |
| preload | prezentă | Permite includerea în lista preîncărcată a browserelor | Ultima treaptă; practic ireversibilă pe termen scurt |
sudo certbot --nginx -d exemplu.ro -d www.exemplu.ro --redirect
sudo certbot renew --dry-run
systemctl list-timers | grep certbotserver {
listen 443 ssl;
http2 on;
server_name exemplu.ro www.exemplu.ro;
ssl_certificate /etc/letsencrypt/live/exemplu.ro/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/exemplu.ro/privkey.pem;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
# Pornește cu max-age=300, verifică o săptămână, apoi urcă la 31536000.
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
}
server {
listen 80;
server_name exemplu.ro www.exemplu.ro;
return 301 https://$host$request_uri;
}Certificatul fusese instalat manual și nimeni nu a notat data. A expirat într-o sâmbătă, iar clienții au văzut luni avertismentul de securitate. Trecerea pe certbot cu timer și o alertă externă pe expirare au eliminat problema definitiv.
A activat HSTS cu includeSubDomains pe domeniul principal, uitând că subdomeniul de staging avea certificat autosemnat. Echipa nu a mai putut deschide staging-ul în browserele lor. Soluția a fost o treaptă de max-age mic înainte de valoarea finală.
Da, dar doar prin validare DNS-01: certbot creează o înregistrare TXT în zona domeniului, prin API-ul furnizorului de DNS. Certificatul acoperă toate subdomeniile de un nivel. Îl folosești când ai multe subdomenii dinamice; altfel, certificate separate per subdomeniu sunt mai simple de urmărit.
Browserele afișează un avertisment pe toată pagina și majoritatea utilizatorilor pleacă. Clienții API refuză conexiunea. Dacă ai HSTS activ, utilizatorul nu poate nici măcar să treacă peste avertisment. De aceea reînnoirea automată și o alertă externă pe expirare sunt obligatorii.
Pentru site-uri cu trafic mare și structură stabilă, da: prima vizită e protejată. Pentru un site care își schimbă subdomeniile sau are servicii interne fără certificat, riscul de a bloca ceva timp de luni e real. Începi fără preload și decizi după câteva luni de HSTS stabil.
Un server de producție e atacat automat din primele minute după ce primește IP public, indiferent cât de mic e proiectul. Ghidul ordonează controalele după impact, de la accesul SSH până la răspunsul la incident, cu legislația din România care se aplică. Fiecare temă are o pagină dedicată, cu răspuns scurt, exemple și configurări.