Instalar um certificado SSL gratuito num VPS
Um VPS não tem painel de controlo para emitir certificados por você. Use o Let's Encrypt através do Certbot — e teste a renovação, porque uma falha silenciosa só aparece 90 dias depois.
Um VPS não tem painel de controlo, pelo que nada emite um certificado por você. A resposta padrão é Let's Encrypt através do Certbot: gratuito, confiado por todos os navegadores, e renova-se sozinho depois de configurado.
Antes de começar
- O registo A do domínio tem de já apontar para o VPS. O Certbot prova que controla o domínio ao ser alcançado nele, pelo que isto tem de ser verdade primeiro — veja Apontar o seu domínio para o seu alojamento.
- As portas 80 e 443 têm de estar abertas. A porta 80 não é opcional: é por ela que a validação funciona, mesmo num site que só serve HTTPS.
- Acesso root ou
sudopor SSH — veja Acesso SSH e gestão do VPS.
Instalar o Certbot e emitir o certificado
Em Ubuntu ou Debian com Nginx:
sudo apt update && sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d exemplo.com -d www.exemplo.com
Para Apache, instale python3-certbot-apache e use --apache. O Certbot altera a configuração do servidor web, obtém o certificado e propõe redirecionar HTTP para HTTPS — aceite.
Indique o domínio simples e o www num único comando. Um certificado só cobre os nomes que contém, e um visitante que escreva a versão que ficou de fora recebe um aviso do navegador.
Confirmar que a renovação funciona de facto
Os certificados Let's Encrypt duram 90 dias. O Certbot instala um temporizador para os renovar, mas uma renovação que falha em silêncio só se manifesta quando o certificado expira — cerca de três meses depois daquilo que a avariou. Teste-a deliberadamente:
sudo certbot renew --dry-run
Se o comando funcionar, a renovação está genuinamente a funcionar. Volte a executá-lo após qualquer alteração à firewall, à configuração do servidor web ou ao DNS.
Por trás da Cloudflare
Se o domínio passar pelo proxy da Cloudflare, a validação HTTP-01 continua a precisar da porta 80 acessível. Mantenha-a aberta, ou mude esse domínio para validação DNS-01. Defina o modo SSL da Cloudflare como Full (strict) depois de instalar o certificado — veja Os modos SSL da Cloudflare e o ciclo de redirecionamento que provocam.
Se preferir não fazer isto sozinho
Duas alternativas: usar Alojamento Partilhado ou WordPress, onde o Plesk trata dos certificados por você, ou comprar um certificado validado em dash.mypandos.io em Produtos → Certificados SSL e instalá-lo manualmente. Se ficar bloqueado, abra um ticket a partir da Support section com o domínio e o erro exato do Certbot — esse resultado normalmente identifica o problema de imediato.