Налаштування SSL/TLS сертифіката для сайту під ключ

Без HTTPS сучасний сайт — не сайт. Налаштування SSL-сертифіката для сайту на Nginx — завдання, яке не можна відкладати. Браузери позначають його як небезпечний, Google знижує позиції, а API (PWA, Geolocation, Service Workers) перестають працювати. Правильне встановлення SSL на Nginx включає вибір сертифіката, налаштування HSTS та OCSP Stapling. Transport Layer Security — протокол, що забезпечує шифрування та цілісність даних. Розберемо, як налаштувати SSL/TLS сертифікат для сайту на Nginx від початку до кінця.

Ми вирішували завдання HTTPS для 200+ проєктів — від простих DV-блогів до мультидоменних конфігурацій з Wildcard. Типові помилки: неправильний ланцюжок або редирект 302 замість 301. Оцінимо ваш проєкт за годину безкоштовно. Замовте налаштування SSL — отримайте надійний захист.

Вибір SSL-сертифіката за типом та завданнями

Для більшості: Let's Encrypt DV (безкоштовно) або платний аналог від Comodo/Sectigo. Економія від використання Let's Encrypt становить до 15 000 гривень на рік на один сертифікат.

Основні проблеми, які вирішує налаштування SSL

HSTS — заголовок, що приписує браузеру використовувати тільки HTTPS. Без нього можлива атака SSL stripping — перенаправлення на HTTP. Ми вмикаємо HSTS з параметром max-age=63072000; includeSubDomains; preload. Правильне налаштування HSTS підвищує безпеку в рази порівняно з відсутністю. HSTS критичний для безпеки, оскільки виключає можливість перехоплення трафіку на етапі першого підключення. Без HSTS браузер може тимчасово перейти на HTTP, і зловмисник цим скористається.

Принцип роботи OCSP Stapling: сервер періодично запитує OCSP-відповідь і "зшиває" її з сертифікатом. Браузеру не потрібно звертатися до OCSP-сервера самостійно. Це знижує TTFB та підвищує приватність. OCSP Stapling зменшує TTFB на 100-200 мс порівняно зі звичайним запитом. Для коректної роботи stapling необхідно вказати довірений сертифікат: ssl_trusted_certificate. Рекомендується використовувати резолвери Cloudflare (1.1.1.1) або Google (8.8.8.8).

Let's Encrypt vs платні сертифікати: що обрати?

Для звичайних сайтів Let's Encrypt — оптимальний вибір. Let's Encrypt налаштовується в 3-5 разів швидше, ніж платні аналоги — весь процес займає менше години. Платні потрібні для OV/EV або якщо клієнт вимагає підтримки від вендора.

Процес налаштування SSL: від аналізу до деплою

Ключові етапи налаштування SSL сертифіката включають вибір типу, генерацію CSR та встановлення. Стек: Nginx на Ubuntu, TLSv1.2/1.3, сучасні шифри (ECDHE+AESGCM) з Perfect Forward Secrecy (PFS). Моніторинг: SSL Labs, Prometheus.

Процес:

1. Аудит поточної конфігурації — шукаємо неправильні редиректи, змішаний контент.
2. Вибір типу сертифіката (DV/OV/EV/Wildcard) з урахуванням бізнес-завдань.
3. Генерація CSR та закритого ключа.
4. Встановлення сертифіката на сервер з тестуванням.
5. Налаштування HSTS, OCSP Stapling, ssl_session_cache.
6. Налаштування HTTP → HTTPS редиректу (301).
7. Перевірка в SSL Labs (ціль — A+).
8. Документація щодо продовження та закладка в моніторинг.

Що входить у налаштування SSL під ключ?

• Аудит поточної HTTPS-конфігурації
• Вибір оптимального типу сертифіката (DV, OV, EV, Wildcard)
• Генерація CSR та встановлення сертифіката
• Налаштування HSTS, OCSP Stapling, шифрів та протоколів
• Редирект HTTP на HTTPS (301)
• Тестування через SSL Labs (оцінка A+)
• Інструкція щодо продовження та моніторингу
• Годинна пост-деплой консультація

Комплексне налаштування SSL сертифіката забезпечує надійний захист та високу продуктивність. Працюємо з 2018 року, реалізували понад 200 проєктів з налаштування SSL. Ми гарантуємо правильне налаштування з оцінкою A+ в SSL Labs. Наша команда має багаторічний досвід та сертифікації з безпеки. Вартість налаштування SSL під ключ — від 5 000 до 15 000 гривень залежно від складності. Замовте налаштування SSL — отримайте безкоштовну оцінку проєкту за годину.

server { listen 443 ssl http2; server_name example.ru www.example.ru; ssl_certificate /etc/letsencrypt/live/example.ru/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/example.ru/privkey.pem; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384; ssl_prefer_server_ciphers off; add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always; ssl_stapling on; ssl_stapling_verify on; resolver 8.8.8.8 1.1.1.1 valid=300s; ssl_trusted_certificate /etc/letsencrypt/live/example.ru/chain.pem; ssl_session_cache shared:SSL:10m; ssl_session_timeout 1d; ssl_session_tickets off; } server { listen 80; server_name example.ru www.example.ru; return 301 https://example.ru$request_uri; } 

Встановлення платного сертифіката

# Генерація CSR openssl req -new -newkey rsa:2048 -nodes \ -keyout example.ru.key \ -out example.ru.csr \ -subj "/C=UA/ST=Kyiv/L=Kyiv/O=Компанія ТОВ/CN=example.ru" # Далі завантажуємо CSR в панель УЦ, проходимо верифікацію, отримуємо сертифікат. # В Nginx вказуємо шляхи: # ssl_certificate /etc/ssl/example.ru/fullchain.crt; # ssl_certificate_key /etc/ssl/example.ru/example.ru.key; 

Перевірка SSL-конфігурації: методи та інструменти

• SSL Labs — повний аналіз, ціль A+.
• openssl s_client -connect example.ru:443 — ручна перевірка.
• curl -vI https://example.ru — заголовки та TLS.

Типові помилки при налаштуванні SSL

• Неправильний ланцюжок сертифікатів: часто забувають встановити проміжні. Перевіряємо openssl s_client -showcerts.
• Редирект 302 замість 301: пошукові системи не оновлюють індекси. Використовуємо 301.
• Змішаний контент: HTTPS-сторінка завантажує скрипти по HTTP. Браузер блокує. Перевіряємо через DevTools.
• Застарілі протоколи: залишають TLSv1.0/1.1 — вразливості. Відключаємо, залишаємо v1.2/1.3.

Зв'яжіться з нами для консультації — ми допоможемо вибрати оптимальний сертифікат і налаштуємо все під ключ. Замовте налаштування SSL — отримайте безкоштовну оцінку проєкту за годину.