Let’s Encrypt: jak jsem instaloval SSL na server s Debianem

Webů, které mi k datu vydání tohoto článku běží na https, nemám mnoho. Přesněji řečeno – jediný. Tím je Maxiorel.cz, který si právě čtete. Před pár lety jsem podlehl tlaku a nadšenému dojmu z informací, že Google bude upřednostňovat právě SSL zabezpečené weby, koupil certifikát, nastavil si v .htaccess Drupalu přesměrování 1:1, v Google si udržel zhruba stejné pozice a na Seznamu jsem se propadl kamsi do hlubin.

Dnes je situace jiná, Seznam.cz prý https plně podporuje a impulsem k tomu, že u něj vše funguje, jak má, respektive mělo by, byla prý potřeba správně indexovat Wikipedii. Zajímavé… Více viz rozhovor na Mladém Podnikateli.

Takže jsem po vzoru několika svých klientů pouvažoval a rozhodl se vyzkoušet bezplatné SSL certifikáty od Let’s Encrypt. Jejich nevýhodou je, že se musejí obnovovat každých 90 dnů a je nutná podpora na straně serveru. Pokud je podporuje hosting, jako třeba Wedos, pak je to bez problémů.

Další nevýhodou SSL od Let’s Encrypt je skutečnost, že vám sice zabezpečí web, ale neposkytují tzv. zelený řádek. Pokud jej chcete, koukněte na nabídku SSL certifikátů od jiných autorit. Přehled najdete třeba na SSLmarketu.

Já mám vlastní virtuální servery u Linode, takže jsem poněkud napjatý očekával, jaké martyrium mě čeká.

Instalace Let‘s Encrypt na Debian 8 pomocí nástroje Certbot

Když jsem instaloval SSL klíč pro Maxiorel.cz poprvé, přišlo mi vše poněkud složité. Generování klíčů, správný postup objednávky certifikátu (i jeho výběr), nastavení na serveru… Jelikož jsem tak nějak pochopil, že Let’s Encrypt je asi složitější záležitost vyžadující nějaké propojení serveru s certifikační autoritou kvůli automatickému prodlužování certifikátu, bál jsem se, co to všechno obnáší.

Kupodivu vše bylo jednodušší, než to vypadalo. Let’s Encrypt totiž nabízí šikovný nástroj Certbot, který provede všechna potřebná nastavení a propojení automaticky.

1. Nejprve bylo nutné Certbot nainstalovat. K tomu stačí použít příkaz
   apt-get install python-certbot-apache -t jessie-backports
   Zde byla mírná komplikace v tom, že jsem neměl jessie-backports v seznamu zdrojů pro stahování softwaru, ale díky návodu, jsem to rychle vyřešil.
2. Po instalaci Certbota stačí spustit následující příkaz:
   certbot --apache
3. Zobrazí se vám průvodce, který nalezne všechny provozované weby v konfiguraci Apache. Zvolíte ty, které chcete vybavit SSL certifikátem a necháte Certbot provést jeho práci. K dispozici je i příkaz, který nastavení Apache automaticky nemění, pokud máte z automatiky obavy.
   
4. Po vyzkoušení, že zvolené weby opravdu fungují na https s certifikátem od Let’s Encrypt, je ještě potřeba vyzkoušet, zda bude fungovat i automatická obnova certifikátu. Stačilo použít příkaz
   certbot renew --dry-run.
5. Vše proběhlo bez problémů, takže jsem pak už jen pomocí Virtualminu přidal do cronu serveru pravidelné spouštění příkazu pro obnovu certifikátu, tedy certbot renew --quiet.

A to je ke zprovoznění certifikátů od Let’s Encrypt na serveru s Debianem vše. Ta jednoduchost mě velice překvapila. Netřeba se toho bát.

Na rozpacích jsem ovšem stále s nasazením https u stávajících webů. Vím, že u Google je to bez problémů, pokud se vše správně přesměruje. U Seznam.cz mě bohužel ani výše odkazovaný rozhovor s Dušanem Janovským příliš nepřesvědčil. Sám Dušan působil dosti nejistě, když říkal, že je vše už v pořádku.

A co vy? Už jste přešli na https? Zaznamenali jste nějakou ztrátu pozic ve vyhledávačích? Vidíte v tom naopak přínos?