Cum se instalează un certificat SSL pe un server Debian

Acest ghid explică cum să instalați un certificat SSL pe un server Debian cu Apache.

Cum se generează CSR pentru un server Debian?

Înainte de instalare, prima dvs. sarcină este să generați un cod CSR (Certificate Signing Request). Aceasta este procedura standard atunci când solicitați un certificat SSL. CSR-ul conține detalii relevante despre domeniul și organizația dvs. pe care Autoritatea de Certificare trebuie să le verifice înainte de a vă emite certificatul.

Aveți două opțiuni:

1. Generați CSR-ul automat folosind generatorul nostru de CSR.
2. Urmați tutorialul nostru pas cu pas despre cum se creează CSR-ul pe Debian.

Copiați întregul conținut al CSR-ului și trimiteți-l Autorității de Certificare în timpul comenzii. În funcție de tipul de validare, ar trebui să primiți certificatul SSL în câteva minute sau, pentru certificatele cu validare superioară, în câteva zile. Odată ce CA îl emite, continuați cu instalarea de mai jos.

Pasul 1: Încărcați certificatul și cheia privată pe server

Plasați fișierele în locațiile standard Debian. Păstrați cheia privată în /etc/ssl/private/ cu permisiuni stricte și combinați certificatul și intermediarul (intermediarii) într-un singur fișier cu lanț complet în /etc/ssl/certs/:

# Private key (set strict permissions)
sudo install -m 600 yourdomain.key /etc/ssl/private/yourdomain.key

# Concatenate the server certificate + intermediate(s) into one full-chain file
cat yourdomain.crt intermediate1.crt intermediate2.crt | sudo tee /etc/ssl/certs/yourdomain-fullchain.pem >/dev/null

Dacă CA v-a livrat lanțul ca un singur fișier ca-bundle în loc de intermediari separați, folosiți acel fișier în locul intermediate1.crt intermediate2.crt de mai sus.

Pe Apache 2.4.8 și versiuni ulterioare, acest singur fișier cu lanț complet este tot ce aveți nevoie pentru SSLCertificateFile. Vechea directivă SSLCertificateChainFile este depreciată și nu mai este necesară.

Pasul 2: Activați modulul SSL

Activați modulul SSL al Apache (și modulul headers, folosit pentru HSTS la Pasul 3):

sudo a2enmod ssl
sudo a2enmod headers

Pasul 3: Creați VirtualHost-ul HTTPS

Creați un nou fișier de configurare a site-ului în /etc/apache2/sites-available/:

sudo nano /etc/apache2/sites-available/yourdomain-ssl.conf

Inserați următorul VirtualHost pentru portul 443 și ajustați căile și numele de domeniu pentru a se potrivi configurației dvs.:

<VirtualHost *:443>
    ServerName yourdomain.com
    ServerAlias www.yourdomain.com

    DocumentRoot /var/www/yourdomain

    SSLEngine on
    SSLCertificateFile    /etc/ssl/certs/yourdomain-fullchain.pem
    SSLCertificateKeyFile /etc/ssl/private/yourdomain.key

    # Recommended TLS hardening (2026)
    SSLProtocol         -all +TLSv1.2 +TLSv1.3
    SSLHonorCipherOrder off

    # HSTS: uncomment the line below only AFTER you confirm HTTPS works on the
    # domain and every subdomain (includeSubDomains applies to all of them).
    # Reversing HSTS in visitors' browsers is slow, so enable it deliberately.
    # Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

    # Optional: enable HTTP/2
    # Protocols h2 http/1.1

    <Directory /var/www/yourdomain>
        AllowOverride All
        Require all granted
    </Directory>

    ErrorLog  ${APACHE_LOG_DIR}/yourdomain-ssl-error.log
    CustomLog ${APACHE_LOG_DIR}/yourdomain-ssl-access.log combined
</VirtualHost>

• SSLCertificateFile, fișierul dvs. cu lanț complet (certificat + intermediari). Pe Apache 2.4.8+ acesta înlocuiește directiva depreciată SSLCertificateChainFile.
• SSLCertificateKeyFile, cheia privată pe care ați creat-o odată cu CSR-ul.

Pasul 4: Forțați o redirecționare de la HTTP la HTTPS

Pentru ca vizitatorii să ajungă întotdeauna la versiunea securizată, creați un VirtualHost separat pentru portul 80 care redirecționează tot traficul HTTP către HTTPS:

sudo nano /etc/apache2/sites-available/yourdomain-redirect.conf

Apoi inserați următoarele:

<VirtualHost *:80>
    ServerName yourdomain.com
    ServerAlias www.yourdomain.com
    Redirect permanent / https://yourdomain.com/
</VirtualHost>

Pasul 5: Activați configurațiile site-ului dvs.

Activați noul site HTTPS (și redirecționarea, dacă ați creat-o). Fișierele din sites-enabled/ sunt doar legături simbolice către sites-available/:

sudo a2ensite yourdomain-ssl

# If you created the redirect
sudo a2ensite yourdomain-redirect

Pasul 6: Testați configurația

Testați întotdeauna configurația înainte de a reîncărca, deoarece o eroare de sintaxă poate scoate site-ul din funcțiune:

sudo apache2ctl configtest

Ar trebui să vedeți Syntax OK. Dacă primiți o eroare, revizuiți pașii anteriori înainte de a continua.

Pasul 7: Reîncărcați serverul Apache

Aplicați modificările prin reîncărcarea Apache. O reîncărcare activează noua configurație fără a întrerupe conexiunile existente:

sudo systemctl reload apache2

Ați configurat cu succes certificatul SSL pe serverul dvs. Debian. Puteți verifica oricând starea instalării SSL cu SSL Checker.

De unde să cumpărați un certificat SSL pentru un server Debian?

Cel mai bun loc pentru a cumpăra un certificat SSL pentru Debian este SSL Dragon. Oferim prețuri competitive, reduceri regulate și oferte excelente pentru întreaga gamă de produse SSL. Am selectat cu atenție cele mai bune branduri SSL de pe piață pentru a oferi site-ului dvs. o criptare puternică. Toate certificatele noastre SSL sunt compatibile cu Debian.

Întrebări frecvente

Concluzie

Instalarea unui certificat SSL pe Debian cu Apache se rezumă la încărcarea fișierelor dvs., activarea mod_ssl, configurarea VirtualHost-ului HTTPS cu certificatul dvs. cu lanț complet, adăugarea unei redirecționări HTTP→HTTPS, testarea cu sudo apache2ctl configtest și reîncărcarea Apache. Aveți nevoie mai întâi de un certificat? Răsfoiți certificatele SSL ale noastre.