Cum să instalezi un certificat SSL în Linux

În acest tutorial, vei învăța cum să instalezi un certificat SSL pe Linux care rulează serverul web Apache (httpd).

Exemplele folosesc Red Hat Enterprise Linux (RHEL) și distribuțiile sale înrudite (Rocky Linux, AlmaLinux, CentOS, Fedora), unde Apache este pachetul httpd, iar configurarea se află în /etc/httpd/. Secțiunea finală include recomandări de achiziție SSL pentru serverele Red Hat Linux.

Generarea CSR-ului pe Linux

Dacă ai generat deja CSR-ul și ai primit certificatul, treci direct la secțiunea de instalare.

Un CSR (Certificate Signing Request) este un mic bloc de text codificat care conține informații despre domeniul tău și, în cazul certificatelor pentru firme, despre organizația ta. Generarea unui CSR este o parte obligatorie a procesului de comandă SSL; fiecare Autoritate de Certificare comercială îl solicită înainte de a emite certificatul. Ai două opțiuni:

• Generează CSR-ul automat cu Generatorul nostru de CSR.
• Urmează tutorialul nostru pas cu pas despre cum să generezi un CSR pe Red Hat Linux.

Trimite CSR-ul către Autoritatea de Certificare în timpul procesului de comandă. Odată ce CA validează cererea și emite certificatul SSL, continuă cu instalarea de mai jos.

Instalarea unui certificat SSL pe Linux (Red Hat / Apache)

După validare, Autoritatea de Certificare îți trimite prin e-mail o arhivă ZIP cu fișierele de instalare. Descarcă și dezarhivează-o. Ar trebui să ai:

• domeniultau.crt, certificatul tău SSL principal (certificatul frunză).
• domeniultau.ca-bundle, certificatele intermediare, numite și pachet CA.
• domeniultau.key, cheia privată pe care ai generat-o împreună cu CSR-ul.

Dacă CA ți-a trimis certificatul sub formă de text, nu de fișiere, deschide certificatul principal, copiază tot conținutul, inclusiv liniile ––BEGIN CERTIFICATE–– și ––END CERTIFICATE––, și salvează-l ca domeniultau.crt. Procedează la fel pentru pachetul CA. Urmează pașii de mai jos pentru a finaliza instalarea.

Pasul 1: Instalează modulul SSL (mod_ssl)

Pe sistemele bazate pe Red Hat, suportul HTTPS este oferit de pachetul mod_ssl. Instalează-l (pe RHEL 8/9 și Fedora folosește dnf; pe versiunile mai vechi folosește yum):

sudo dnf install mod_ssl

Instalarea pachetului creează și fișierul de configurare SSL implicit la /etc/httpd/conf.d/ssl.conf, unde vei adăuga directivele pentru certificatul tău.

Pasul 2: Încarcă fișierele certificatului pe server

Copiază fișierele în locațiile standard Red Hat pentru certificate. Certificatele merg în /etc/pki/tls/certs/, iar cheia privată merge în /etc/pki/tls/private/:

sudo cp yourdomain.crt /etc/pki/tls/certs/
sudo cp yourdomain.ca-bundle /etc/pki/tls/certs/
sudo cp yourdomain.key /etc/pki/tls/private/

Restricționează accesul la cheia privată astfel încât doar root să o poată citi:

sudo chmod 600 /etc/pki/tls/private/yourdomain.key

Pe Apache 2.4.8 și versiunile mai noi, ceea ce acoperă toate versiunile RHEL suportate, combină certificatul și pachetul CA într-un singur fișier cu lanțul complet (mai întâi certificatul frunză, apoi intermediarele). Acest fișier unic este tot ce are nevoie directiva SSLCertificateFile:

cat yourdomain.crt yourdomain.ca-bundle > yourdomain_fullchain.crt
sudo cp yourdomain_fullchain.crt /etc/pki/tls/certs/

Pasul 3: Configurează VirtualHost-ul HTTPS

Deschide fișierul de configurare SSL cu un editor de text:

sudo nano /etc/httpd/conf.d/ssl.conf

În interiorul blocului VirtualHost pentru portul 443, configurează o setare completă și modernă, precum cea de mai jos. Ajustează căile și domeniul astfel încât să corespundă fișierelor tale:

<VirtualHost *:443>
    ServerName  www.yourdomain.com
    DocumentRoot /var/www/html

    SSLEngine on

    # Apache 2.4.8+ : certificat + pachet CA într-un singur fișier cu lanțul complet
    SSLCertificateFile    /etc/pki/tls/certs/yourdomain_fullchain.crt
    SSLCertificateKeyFile /etc/pki/tls/private/yourdomain.key

    # Recomandări pentru securizarea TLS (2026)
    SSLProtocol         -all +TLSv1.2 +TLSv1.3
    SSLHonorCipherOrder off

    # Activează HSTS doar după ce confirmi că HTTPS funcționează
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
</VirtualHost>

• SSLCertificateFile: fișierul tău cu lanțul complet (certificatul urmat de intermediarele). Pe Apache 2.4.8+, această directivă unică înlocuiește directiva depreciată SSLCertificateChainFile.
• SSLCertificateKeyFile: cheia privată pe care ai creat-o odată cu CSR-ul.

Apache vechi (mai vechi de 2.4.8): dacă folosești un server foarte vechi, păstrează certificatul și lanțul separate, indică SSLCertificateFile către domeniultau.crt și adaugă SSLCertificateChainFile /etc/pki/tls/certs/domeniultau.ca-bundle, care trebuie să indice către pachetul CA, nu către propriul tău certificat.

Pasul 4: Redirecționează HTTP către HTTPS

Pentru ca vizitatorii să ajungă întotdeauna la versiunea securizată a site-ului tău, adaugă un VirtualHost pentru portul 80 (în configurația principală a site-ului tău, de exemplu /etc/httpd/conf.d/domeniultau.conf) care să redirecționeze către HTTPS:

<VirtualHost *:80>
    ServerName www.yourdomain.com
    ServerAlias yourdomain.com
    Redirect permanent / https://www.yourdomain.com/
</VirtualHost>

Pasul 5: Testează configurarea

Testează întotdeauna sintaxa înainte de a reîncărca serviciul; o greșeală de scriere în configurație poate împiedica pornirea Apache:

sudo apachectl configtest

Ar trebui să vezi Syntax OK. Dacă primești o eroare, revizuiește pașii anteriori înainte de a continua.

Pasul 6: Reîncarcă Apache

Aplică modificările reîncărcând serviciul httpd. O reîncărcare activează noua configurație fără a întrerupe conexiunile existente:

sudo systemctl reload httpd
sudo systemctl start httpd
sudo systemctl enable httpd

Un ultim detaliu: asigură-te că firewall-ul permite traficul HTTPS pe portul 443:

sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

Felicitări. Certificatul tău SSL este acum instalat pe serverul tău Apache Red Hat Linux.

Pentru a confirma că totul funcționează și pentru a obține un raport instant de stare, verifică domeniul tău cu ajutorul SSL Checker. Scanările semnalează orice eroare de lanț sau de configurare care ar putea afecta modul în care browserele au încredere în certificatul tău.