Jak to działa: certyfikat SSL w trzech krokach
W skrócie
Podajesz domenę, potwierdzasz, że jest Twoja (plikiem na serwerze albo rekordem DNS), a przeglądarka tworzy klucz i pobiera certyfikat od Let's Encrypt. Dostajesz pliki do wgrania w panelu hostingu. Po około dwóch miesiącach przypominamy o odnowieniu.
1. Podaj domenę
Wpisz nazwy, dla których ma działać certyfikat, oddzielone przecinkiem, na przykład firma.pl, www.firma.pl. Jeden certyfikat obejmie do 10 nazw. Certyfikat dla wszystkich subdomen to *.firma.pl; wymaga potwierdzenia rekordem DNS.
Wybierasz też rodzaj klucza. ECDSA P-256 jest mniejszy i szybszy, RSA 2048 przyjmuje praktycznie każdy panel, także te, które ECDSA nie obsługują (np. hosting OVH i NAS QNAP). Jeśli zapiszesz swój hosting w koncie, generator sam wybierze właściwy rodzaj.
2. Potwierdź, że domena jest Twoja
Let's Encrypt wystawi certyfikat tylko temu, kto kontroluje domenę. Generator pokazuje, co dokładnie zrobić, z przyciskiem „Kopiuj” przy każdej wartości. Masz do wyboru dwie metody:
Let's Encrypt otwiera adres:
http://twojafirma.pl/.well-known/acme-challenge/nazwa-pliku
- strona musi działać przez http, na porcie 80
- wgrywasz jeden mały plik, np. przez FTP albo menedżer plików
- nie obsługuje certyfikatu z gwiazdką
Let's Encrypt pyta serwery DNS domeny o rekord:
_acme-challenge.twojafirma.pl TXT wartość
- dodajesz rekord w panelu, w którym jest domena
- działa zawsze, także gdy strony jeszcze nie ma
- wymagany dla *.twojafirma.pl
Jeśli nie wiesz, którą wybrać: gdy strona już działa i możesz wgrać do niej plik, wybierz plik. Gdy strona działa na aplikacji, która przechwytuje każdy adres, albo potrzebujesz certyfikatu z gwiazdką, wybierz rekord DNS.
3. Klucz prywatny i certyfikat
Po potwierdzeniu domeny Twoja przeglądarka tworzy klucz prywatny i wniosek o certyfikat (CSR). Do Let's Encrypt trafia tylko wniosek, który zawiera nazwy domen i klucz publiczny. Certyfikat jest gotowy po kilku sekundach. Klucz prywatny nie opuszcza przeglądarki; szczegóły na stronie Bezpieczeństwo.
Jakie pliki dostajesz
| Plik | Co zawiera | Kiedy go użyć |
|---|---|---|
privkey.pem | klucz prywatny | zawsze; tylko w panelu Twojego hostingu albo na Twoim serwerze |
fullchain.pem | certyfikat z certyfikatami pośrednimi | w większości paneli i na serwerach nginx i Apache |
cert.pem | sam certyfikat Twojej domeny | gdy panel ma osobne pole na łańcuch |
chain.pem | same certyfikaty pośrednie | do pola „CA”, „łańcuch” albo „certyfikat pośredni” |
Instalacja na hostingu
Pliki wgrywasz tam, gdzie działa Twoja strona: w panelu hostingu, na serwerze albo w NAS-ie. Przygotowaliśmy instrukcje krok po kroku, z nazwami pól w panelu i informacją, który plik gdzie wkleić:
home.plnazwa.plcyber_FolksLH.plOVHZenboxdhosting.plKylosSmarthostWEBD.plMyDevilHostingerSEOHOSTHostidoPleskcPanelDirectAdminWłasny serwer (nginx lub Apache)Proxmox VENAS SynologyNAS QNAPTrueNASUnraidNAS OpenMediaVaultInny
Tryb testowy
Tryb testowy przeprowadza cały proces na środowisku testowym Let's Encrypt. Certyfikat testowy nie jest zaufany przez przeglądarki, ale pozwala sprawdzić, czy plik albo rekord DNS są w porządku, bez zużywania limitów produkcyjnych. Gdy wszystko zadziała, powtórz proces w trybie produkcyjnym.
Tryb produkcyjny działa dla nazw, które przeszły tryb testowy w ciągu ostatnich 30 dni albo mają już certyfikat produkcyjny w Twoim koncie. Nieudane próby produkcyjne zużywają limity Let's Encrypt, a próby testowe prawie nic nie kosztują, więc błędy lepiej wyłapać w teście. Przy odnowieniu testu nie trzeba powtarzać.
Klucz Twojego konta w Let's Encrypt zapamiętujemy w tej przeglądarce, więc kolejne próby nie zakładają nowych kont. To ważne, bo Let's Encrypt pozwala założyć z jednego adresu internetowego najwyżej 10 kont na 3 godziny.
Odnowienie
Certyfikat Let's Encrypt jest dziś ważny 90 dni. Odnowienie to powtórzenie trzech kroków i wgranie nowych plików w to samo miejsce. Nowy certyfikat ma też nowy klucz prywatny, bo poprzedniego nie przechowujemy.
Gdy certyfikat produkcyjny zapiszesz w koncie, wyślemy przypomnienie po dwóch trzecich ważności (dla 90 dni to około 60. dzień) i drugie tydzień przed wygaśnięciem. Let's Encrypt zapowiedział skrócenie ważności do 64 dni od 10 lutego 2027 i do 45 dni od 16 lutego 2028; przypomnienia dostosują się same, bo liczymy je z dat w certyfikacie.