Certificati TLS gratuiti e HTTPS
Questa guida è tradotta dall'inglese. Alcune pagine collegate sono disponibili solo in inglese.
Come funziona l'HTTPS automatico, come emettere e rinnovare i certificati e perché non pubblicare mai in HTTP.
L'HTTPS non è più opzionale. I browser etichettano l'HTTP semplice come «Non sicuro», i motori di ricerca lo posizionano peggio e qualsiasi accesso o pagamento tramite HTTP è davvero insicuro.
Come funziona qui
Usiamo certificati di Let's Encrypt (gratuiti, automatizzati, ampiamente affidabili) emessi e rinnovati da Certbot. Quando associ un dominio a un sito, possiamo richiedere automaticamente un certificato e rinnovarlo prima della scadenza. Non paghi mai e non devi ricordarti di nulla.
Emettere un certificato
Assicurati che il DNS del dominio punti già a noi — l'autorità di certificazione verifica che tu controlli il nome, cosa possibile solo se il nome risolve qui.
In /panel/web apri il sito, scegli SSL/TLS e aggiungi il dominio.
Richiediamo il certificato e lo installiamo. Di solito bastano pochi secondi.
Richiedi sia example.com sia www.example.com in modo che nessuno dei due mostri un avviso.
Rinnovo
I rinnovi sono automatici. Puoi confermare la pianificazione nel pannello e controllare la data di scadenza in qualsiasi momento:
echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null \
| openssl x509 -noout -subject -datesSe un rinnovo fallisce, quasi sempre è perché il dominio non risolve più verso di noi (il DNS è cambiato), la porta 80 è bloccata (il validatore ne ha bisogno) o è stato raggiunto un limite di frequenza dopo ripetuti fallimenti. Correggi la causa, poi riprova manualmente.
Reindirizzare HTTP a HTTPS
Un certificato da solo non impedisce di raggiungere la versione HTTP semplice. Aggiungi un reindirizzamento permanente — vedi Forzare HTTPS e reindirizzamenti. Una volta attivo, ogni visitatore arriva alla versione sicura anche se digita http://.
Testa come si deve
curl -I http://example.com # should be a 301 to https://
curl -I https://example.com # should be 200E controlla i contenuti misti: una pagina servita in HTTPS che carica un'immagine o uno script in HTTP semplice viene segnalata come non sicura dai browser. Carica tutto da URL https://.
Dietro un proxy o una CDN
Se metti una CDN davanti a noi, la catena di certificati va CDN → visitatore E CDN → origine. Entrambi i tratti richiedono certificati. Il nostro lato emette per l'origine; la CDN emette per il nome visibile al visitatore. Vedi Cos'è una CDN e ti serve?.
Letture correlate