Habilite HTTPS em sua instância Nginx com Let's Encrypt e Certbot

Faça login no console do Lightsail.

Na guia Instâncias da página inicial do Lightsail, escolha o ícone de conexão rápida SSH para a instância à qual você deseja se conectar.

Depois que sua sessão SSH baseada no navegador Lightsail estiver conectada, insira o seguinte comando para atualizar os pacotes na sua instância:

sudo apt-get update

Insira o comando a seguir para instalar o pacote de propriedades de software. Os desenvolvedores do Certbot usam um Personal Package Archive (PPA) para distribuir o Certbot. O pacote de propriedades de software torna o trabalho com PPAs mais eficiente.

sudo apt-get install software-properties-common -y

Digite o seguinte comando a seguir para atualizar apt para incluir o novo repositório:

sudo apt-get update -y

Insira o comando a seguir para instalar o Certbot:

sudo apt-get install certbot -y

O Certbot agora está instalado na sua instância do Lightsail.

Na mesma janela de terminal SSH baseada em navegador usada na etapa anterior deste tutorial, insira os comandos a seguir para definir uma variável de ambiente para seu domínio. Lembre-se de substituir domain pelo nome do seu nome de registro registrado.

DOMAIN=domain
WILDCARD=*.$DOMAIN

Exemplo:

DOMAIN=example.com
WILDCARD=*.$DOMAIN

Digite o seguinte comando para confirmar que as variáveis retornarão os valores corretos:

echo $DOMAIN && echo $WILDCARD

Será exibido um resultado semelhante ao seguinte:

Digite o seguinte comando para iniciar o Certbot no modo interativo. Esse comando informa ao Certbot para usar um método de autorização manual com desafios de DNS para verificar a propriedade do domínio. Ele solicita um certificado curinga para seu domínio de nível superior, bem como seus subdomínios.

sudo certbot -d $DOMAIN -d $WILDCARD --manual --preferred-challenges dns certonly

Insira seu endereço de e-mail quando solicitado, pois ele é usado para avisos de renovação e segurança.

Leia os termos de serviço do Let's Encrypt. Ao concluir, pressione A se você concorda. Se você discordar, não poderá obter um certificado Let's Encrypt.

Responda adequadamente ao prompt para compartilhar seu endereço de e-mail e o aviso sobre o registro do seu endereço IP.

O Let's Encrypt agora solicita que você verifique se você é proprietário do domínio especificado. Você pode fazer isso adicionando registros TXT para os registros DNS para seu domínio. Um conjunto de valores de registro TXT é fornecido conforme mostrado no seguinte exemplo:

No painel de navegação esquerdo, escolha Domínios e DNS.

Na seção Zonas DNS da página, escolha a zona DNS para o domínio especificado na solicitação de certificado Certbot.

No editor de zonas DNS, escolha a guia DNS records (Registros DNS).

Escolha Adicionar registro.

No menu suspenso Record type (Tipo de registro), escolha TXT record (Registro TXT).

Insira os valores especificados pela solicitação de certificado Let's Encrypt nos campos Record name (Nome do registro) e Responds with (Responde com).

Escolha Salvar.

Repita as etapas de 4 a 7 para adicionar o segundo conjunto de registros TXT especificado pela solicitação de certificado Let's Encrypt.

Mantenha a janela do navegador do console Lightsail aberta — você voltará a ela posteriormente neste tutorial. Continue na próxima seção deste tutorial.

Abra uma nova janela do navegador e acesse https://mxtoolbox.com/TXTLookup.aspx.

Insira o seguinte texto na caixa de texto. Substitua domain pelo seu domínio.

_acme-challenge.domain

Exemplo:

_acme-challenge.example.com

Escolha Pesquisa de TXT para executar a verificação.

Uma das seguintes respostas ocorre:

Na sessão SSH baseada no navegador Lightsail para sua instância, pressione Enter para continuar sua solicitação de certificado SSL Let's Encrypt. Se bem-sucedido, uma resposta semelhante à mostrada na captura de tela a seguir aparecerá:

A mensagem confirma que os arquivos de certificado, de cadeia e de chave estão armazenados no diretório /etc/letsencrypt/live/domain/. Substitua domain pelo seu domínio, como /etc/letsencrypt/live/example.com/.

Anote a data de expiração especificada na mensagem. Você pode usá-la para renovar seu certificado até essa data.

Na sessão SSH da sua instância Nginx, digite o seguinte comando para interromper os serviços subjacentes:

sudo systemctl stop nginx
sudo systemctl stop mariadb
sudo systemctl stop php8.2-fpm

Você verá uma resposta semelhante à seguinte:

Digite o comando a seguir para definir uma variável de ambiente para o seu domínio. Você pode copiar e colar comandos de forma mais eficiente para vincular os arquivos de certificado. Lembre-se de substituir domain pelo nome do seu registro registrado.

DOMAIN=domain

Exemplo:

DOMAIN=example.com

Digite o seguinte comando para confirmar que as variáveis retornarão os valores corretos:

echo $DOMAIN

Será exibido um resultado semelhante ao seguinte:

Execute o comando abaixo para alterar a configuração do SSL:

sudo sed \
-i -e "s|ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem|ssl_certificate /etc/letsencrypt/live/$DOMAIN/fullchain.pem|g" \
-i -e "s|ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key|ssl_certificate_key /etc/letsencrypt/live/$DOMAIN/privkey.pem|g" \
/etc/nginx/conf.d/default.conf

Depois de sobrescrever o default.conf arquivo, execute os comandos abaixo para verificar a configuração e reiniciar o Nginx

sudo nginx -t
sudo systemctl restart nginx
sudo systemctl restart mariadb
sudo systemctl restart php8.2-fpm

Será exibido um resultado semelhante ao seguinte:

Sua instância Nginx agora está configurada para usar criptografia SSL e o tráfego é redirecionado de HTTP para HTTPS