Certificate SSL: gratuite (Let's Encrypt) și comerciale

Un certificat SSL (TLS) permite deschiderea site-ului prin HTTPS. Pagina „Certificate SSL — gratis și comerciale” (blackbox.md/domains/ssl, meniul „Domenii” → „Certificate SSL”) prezintă două variante. Certificatul Let's Encrypt este gratuit și îl instalați singur pe server. Certificatul comercial îl cereți prin suport, iar echipa BLACKBOX vă trimite o ofertă. Panoul app.blackbox.md nu are o secțiune pentru certificate.

Disponibil pentru: Let's Encrypt: oricui are acces root la server. Certificat comercial: orice vizitator al blackbox.md poate cere o ofertă pe email sau la telefon, iar titularii unui cont blackbox.md și prin tichet.

Ce certificat vă trebuie

Pentru majoritatea site-urilor (bloguri, site-uri de prezentare, magazine online, aplicații și API-uri), Let's Encrypt este suficient. Criptarea este aceeași ca la un certificat comercial, iar browserul afișează site-ul la fel.

Alegeți un certificat comercial dacă:

• aveți nevoie de validarea organizației, adică numele companiei să apară în certificat (OV sau EV);
• un contract, o bancă sau un procesator de plăți vă cere o garanție financiară (warranty) din partea CA;
• un client sau un partener cere un anumit tip de certificat ori o anumită autoritate de certificare;
• folosiți un sistem vechi sau un dispozitiv care nu acceptă Let's Encrypt sau nu poate rula reînnoirea automată.

Let's Encrypt: certificatul gratuit

• Îl emite Let's Encrypt, o autoritate de certificare non-profit. Aceasta verifică doar că domeniul vă aparține.
• Este valabil 90 de zile. Un timer certbot îl reînnoiește automat cu câteva săptămâni înainte de expirare. Pe Ubuntu și Debian timerul pornește singur; pe AlmaLinux și CentOS Stream îl porniți dvs., așa cum arată ghidul de mai jos.
• La validarea obișnuită, prin HTTP, domeniul trebuie să indice deja către IP-ul serverului, iar portul 80 trebuie să fie accesibil din internet. Vedeți Cum îndreptați domeniul către server.
• Un certificat wildcard (*.example.com) se obține doar cu validare prin DNS, cu o înregistrare TXT _acme-challenge. Pentru reînnoirea automată folosiți un plugin certbot pentru furnizorul dvs. de DNS (de exemplu Cloudflare). La validarea manuală (--manual), reînnoirea nu se mai face automat.
• Nu aveți nevoie de un CSR, pentru că certbot îl creează singur.

Instalarea pas cu pas, pentru nginx și Apache: Server web cu HTTPS: nginx sau Apache și Let's Encrypt.

Prima comandă de mai jos afișează certificatele instalate și data expirării. A doua simulează reînnoirea fără să emită un certificat nou.

certbot certificates
certbot renew --dry-run

Tipurile de certificate comerciale

Validarea OV și EV durează mai mult decât validarea DV, pentru că CA verifică documentele companiei.

Cum cereți un certificat comercial

1. Deschideți pagina „Certificate SSL — gratis și comerciale” (blackbox.md/domains/ssl).
2. Apăsați „Cere ofertă SSL comercial”, în partea de sus a paginii. Se deschide pagina „Contacte”.
3. Alegeți canalul: un tichet („Contul meu” → „Ajutor și suport” → „Tichet nou”), un email la support@blackbox.md, un apel sau un mesaj WhatsApp la +373 78 003948 (luni–vineri, 09:00–18:00, ora Moldovei).
4. În tichet, la „Subiect”, scrieți de exemplu „Cerere ofertă: certificat SSL OV pentru example.com”. La „Server (opțional)” indicați numele sau IP-ul serverului pe care veți instala certificatul.
5. În „Descrieți problema” scrieți datele din tabelul de mai jos și apăsați „Trimite tichetul”.
6. Echipa vă răspunde cu o ofertă: prețul și condițiile.
7. Urmați instrucțiunile de validare primite. Pentru DV confirmați controlul asupra domeniului; pentru OV și EV pregătiți documentele companiei.
8. După emitere primiți fișierele certificatului. Instalarea este descrisă mai jos.

Formularul tichetului pas cu pas: Deschiderea unui tichet de suport.

Important Pagina „Certificate SSL” afișează prețuri orientative. Contează prețul și condițiile din oferta primită de la echipă.

CSR-ul și cheia privată

CA emite certificatul comercial pe baza unui CSR (Certificate Signing Request). CSR-ul conține cheia publică și numele domeniilor. Îl puteți genera în browser, din „Domenii” → „Generator CSR” (blackbox.md/domains/csr). Generatorul afișează două blocuri, „Cheia privată (.key)” și „CSR (.csr) — trimiteți la CA”. Cu butonul „Descarcă” din fiecare bloc le salvați ca fișiere numite după Common Name, de exemplu www.example.com.key. Pașii detaliați sunt în Generatorul CSR din browser. Înainte de a trimite CSR-ul, verificați-l cu ajutorul articolului Verificarea unui CSR sau certificat cu openssl.

Securitate Trimiteți doar CSR-ul. Cheia privată (.key) nu o trimiteți nimănui, nici în tichet, nici pe email. Păstrați-o într-un loc sigur. Fără ea certificatul emis nu poate fi instalat. Dacă o pierdeți, aveți nevoie de un CSR nou și de reemiterea certificatului.

Cum instalați un certificat comercial

Configurația serverului web este aceeași ca la Let's Encrypt. Se schimbă doar căile către fișiere. Aveți nevoie de:

În comenzile de mai jos, DOMENIU este numele domeniului, iar DOMENIU.crt și ca-bundle.crt sunt fișierele primite. Înlocuiți-le cu numele reale ale fișierelor dvs.

1. Pe server, creați un director pentru fișiere:

   mkdir -p /etc/ssl/DOMENIU
   chmod 700 /etc/ssl/DOMENIU

2. Copiați fișierele de pe calculatorul dvs. pe server (Transferul fișierelor pe server (scp, rsync, SFTP)):

   scp DOMENIU.key DOMENIU.crt ca-bundle.crt root@IP_SERVER:/etc/ssl/DOMENIU/

3. Pe server, puneți certificatul și lanțul intermediar într-un singur fișier, cu certificatul domeniului primul. Apoi protejați cheia:

   cd /etc/ssl/DOMENIU
   cat DOMENIU.crt ca-bundle.crt > fullchain.pem
   chmod 600 DOMENIU.key

4. Indicați fișierele în configurația site-ului. Pentru nginx, în blocul server cu listen 443 ssl:

   ssl_certificate     /etc/ssl/DOMENIU/fullchain.pem;
   ssl_certificate_key /etc/ssl/DOMENIU/DOMENIU.key;

   Pentru Apache, în <VirtualHost *:443>:

   SSLCertificateFile    /etc/ssl/DOMENIU/fullchain.pem
   SSLCertificateKeyFile /etc/ssl/DOMENIU/DOMENIU.key

5. Verificați configurația și reîncărcați serverul web. Pentru nginx:

   nginx -t
   systemctl reload nginx

   Pentru Apache (serviciul se numește apache2 pe Ubuntu și Debian și httpd pe AlmaLinux și CentOS Stream):

   apachectl configtest
   systemctl reload apache2 || systemctl reload httpd

Erori frecvente la instalare:

Dacă aveți nevoie de ajutor la instalare, scrieți-ne: Cum contactați suportul BLACKBOX.

Verificarea certificatului

Rulați comenzile pe server sau pe un calculator cu Linux ori macOS. Prima comandă verifică lanțul de încredere. La sfârșitul răspunsului trebuie să apară „Verify return code: 0 (ok)”. A doua comandă afișează emitentul și perioada de valabilitate.

openssl s_client -connect DOMENIU:443 -servername DOMENIU < /dev/null
openssl s_client -connect DOMENIU:443 -servername DOMENIU < /dev/null 2>/dev/null | openssl x509 -noout -issuer -dates

Alte verificări, inclusiv potrivirea dintre cheie, CSR și certificat: Verificarea unui CSR sau certificat cu openssl.

Întrebări frecvente

Văd vizitatorii diferența dintre Let's Encrypt și un certificat comercial? Nu. Browserul afișează site-ul la fel, iar emitentul se vede doar în detaliile certificatului. Și pentru un magazin online, Let's Encrypt oferă aceeași criptare.

Wildcard sau SAN? Alegeți wildcard pentru multe subdomenii ale aceluiași domeniu, inclusiv pentru cele pe care le veți crea mai târziu. Alegeți SAN pentru domenii diferite, de exemplu example.com și example.net, pe care un wildcard nu le acoperă.

Cum reînnoiesc un certificat comercial? Certificatul comercial nu se reînnoiește automat. Urmăriți data expirării și cereți din timp reînnoirea prin suport. Folosiți un CSR nou, de preferat cu o cheie nouă. Apoi înlocuiți fișierele și reîncărcați serverul web.

Am trecut de la Let's Encrypt la un certificat comercial. Ce fac cu certificatul vechi? După ce site-ul folosește noul certificat și nicio configurație nu mai indică fișiere din /etc/letsencrypt/live/, ștergeți-l pe cel vechi, ca certbot să nu-l mai reînnoiască. Numele exact îl găsiți la „Certificate Name” în rezultatul comenzii certbot certificates.

certbot delete --cert-name DOMENIU

De ce nu se emite certificatul, deși DNS-ul este corect? Verificați dacă domeniul are înregistrări DNS de tip CAA. Dacă are, ele trebuie să permită autoritatea de certificare aleasă; pentru Let's Encrypt, valoarea este letsencrypt.org. La Let's Encrypt verificați și că portul 80 este accesibil din internet.