Instalace SSL certifikátu - nginx

Instalace SSL certifikátu na webový server nginx

Společnost Alpiro je prodejcem SSL certifikátů a digitálních osobních (S/MIME) certifikátů. Instalaci SSL certifikátů zajišťuje sám klient vlastními silami a prostředky. Společnost Alpiro nenese odpovědnost za případné komplikace s instalací certifikátu na server. V případě obtíží s instalací certifikátu se obraťte na výrobce serverového softwaru nebo příslušnou dokumentaci, kterou si můžete od výrobce vyžádat.
Přestože byl postup instalace SSL certifikátu podle tohoto návodu úspěšně otestován, mějtě na paměti, že tento návod je pouze příkladný a nemusí odpovídat konkrétní konfiguraci nebo verzi vašeho serveru. Společnost Alpiro neručí za jakékoliv případné škody způsobené použitím tohoto materiálu.

Instalace SSL certifikátu na nginx web server

V tomto dokumentu předpokládáme, že:

jste již obdrželi svůj SSL certifikát,
na svém serveru již máte nainstalovaný web server nginx.

V našem případě použijeme SSL certifikát vystavený pro doménu www.ssls.cz, přičemž:

SSL certifikát máme uložený v souboru www.ssls.cz.crt,
privátní klíč v souboru www.ssls.cz.key,
a intermediate certifikát podepisující certifikační autority (CA) v souboru ca_intermediate.crt.

Příprava SSL certifikátu pro instalaci

Serverový SSL certifikát www.ssls.cz.crt a intermediate certifikát ca_intermediate.crt musíme nejprve sloučit do jednoho souboru (pojmenujeme ho uni_www.ssls.cz.crt a umístíme do adresáře /etc/nginx/conf). K tomu všemu stačí jednoduchý příkaz:

$ cat www.ssls.cz.crt ca_intermediate.crt > /etc/nginx/conf/uni_www.ssls.cz.crt

Je-li k SSL certifikátu více intermediate certifikátů, je nutné do souboru uni_www.ssls.cz.crt umístit všechny.

Po instalaci SSL certifikátu důrazně doporučujeme ověřit si, že server klientům odesílá intermediate certifikáty ve správném pořadí. To můžete snadno ověřit pomocí nástroje SSL Tester.

Konfigurace nginx

Do konfiguračního souboru přidáme tři řádky. Nezapomeňte upravit cestu k souborům na serveru!

ssl on;
ssl_certificate /etc/nginx/conf/uni_www.ssls.cz.crt;
ssl_certificate_key /etc/nginx/conf/www.ssls.cz.key;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload";

V souvislosti s direktivou ssl_protocols doporučujeme přečíst si více o protokolu TLS, jeho verzích a kompatibilitě.

Všimněte si také doporučené konfigurace hlavičky "Strict-Transport-Security" (HSTS). Více o konfiguraci HSTS…