HTTPS

HTTPS protegge i dati che i visitatori scambiano con il tuo sito e mostra il lucchetto nel browser. Il pannello usa certificati gratuiti di Let's Encrypt.

Attivare HTTPS

Prima di iniziare controlla che:

il dominio (e gli eventuali alias) punti già a questo server;
la porta 80 del server sia raggiungibile da Internet (lo è, se non l'hai chiusa nel firewall).

Poi apri il sito, scheda Panoramica, riquadro SSL / HTTPS, e premi Attiva certificato gratuito. Puoi indicare un'email a cui Let's Encrypt scriverà in caso di problemi.

La richiesta dura di solito meno di un minuto e prosegue in sottofondo. Quando è finita il sito risponde in HTTPS e chi apre l'indirizzo in HTTP viene portato automaticamente sulla versione sicura.

Rinnovo

I certificati durano 90 giorni e si rinnovano da soli circa un mese prima della scadenza: non devi fare nulla.

Se il rinnovo non riesce (per esempio perché il dominio non punta più al server), il pannello avvisa gli amministratori via email quando mancano meno di 14 giorni alla scadenza, anche per i certificati wildcard. Vedi Email di sistema.

Per rinnovare subito, nel riquadro SSL / HTTPS premi Rinnova ora: il pannello chiede un nuovo certificato a Let's Encrypt e ricarica il sito. Serve dopo aver sistemato il problema che bloccava il rinnovo automatico. Per non consumare i limiti di Let's Encrypt, un certificato emesso da meno di 24 ore non si rinnova di nuovo.

Se la richiesta non riesce

Il motivo più comune è il DNS: il dominio non punta ancora al server, oppure la modifica non si è ancora propagata (può richiedere qualche ora). Controlla il DNS e riprova. Il dettaglio dell'errore compare sotto il pulsante (gli amministratori lo trovano anche in Attività).

Disattivare HTTPS

Nel riquadro SSL / HTTPS premi Disattiva HTTPS: il sito torna in HTTP e il certificato viene eliminato.

Certificato wildcard

Il riquadro Certificato wildcard chiede a Let's Encrypt un solo certificato per il dominio e per tutti i suoi sottodomini (*.esempio.it), comodo quando i sottodomini sono tanti o cambiano spesso.

Un certificato wildcard si ottiene solo con la verifica DNS: il pannello scrive da solo un record TXT _acme-challenge nella zona del dominio e lo toglie subito dopo. Per questo il DNS del dominio deve essere gestito dal pannello: sul DNS di questo server o con una connessione Cloudflare o 1PrimeCDN nella pagina DNS. Non serve che il dominio punti già al server.
Con Il sito risponde anche a tutti i sottodomini qualsiasi sottodominio (per esempio negozio.esempio.it) apre questo sito, a meno che non sia un sito a sé nel pannello. Ricordati di aggiungere nel DNS un record * che punti al server.
Il certificato normale, se c'era, viene sostituito. Il pannello rinnova il certificato wildcard da solo, 30 giorni prima della scadenza, con la stessa connessione DNS; Rinnova ora lo rifà subito.
Disattiva HTTPS nel riquadro SSL / HTTPS toglie anche il certificato wildcard; richiedere il certificato normale lo sostituisce.
Quando sposti l'account su un altro server il certificato wildcard non viene copiato: sul nuovo server richiedilo di nuovo (o richiedi il certificato normale).

Certificato caricato a mano

Se hai comprato un certificato altrove (per esempio OV o EV, o rilasciato dall'autorità della tua azienda), usa il riquadro Certificato caricato a mano nella pagina del sito: premi Carica un certificato e incolla, in formato PEM, il certificato, la chiave privata e, se te l'hanno data a parte, la catena dei certificati intermedi. Poi premi Installa il certificato.

Il pannello controlla che la chiave privata corrisponda al certificato, che il certificato valga per il dominio del sito e che sia valido oggi. La chiave deve essere senza password: se è protetta, toglila con openssl pkey -in chiave.pem -out chiave-senza-password.pem.
Non blocca, ma avvisa, se il certificato non copre qualche alias del sito, se la catena non porta a un'autorità riconosciuta (di solito manca il certificato intermedio) o se scade entro 30 giorni.
Il certificato di Let's Encrypt del sito, se c'era, viene tolto. Il riquadro SSL / HTTPS mostra chi ha emesso il certificato e quando scade.
Il pannello non rinnova un certificato caricato a mano: 14 e 3 giorni prima della scadenza avvisa di caricare quello nuovo (con Carica quello nuovo, nello stesso riquadro). Per tornare a Let's Encrypt disattiva HTTPS e riattivalo, oppure richiedi il certificato wildcard.
I backup del sito contengono il certificato e lo rimettono al ripristino. Quando sposti l'account su un altro server, caricalo di nuovo sul nuovo server.

IP dedicato

Gli amministratori possono dare a un sito un indirizzo IP tutto suo (riquadro IP dedicato nella pagina del sito): nginx serve il sito su quell'indirizzo e chi apre l'indirizzo trova solo quel sito, anche senza nome. L'indirizzo deve essere già configurato sul server (un IP aggiuntivo del provider); l'indirizzo principale del server resta condiviso e non si può dedicare, e un indirizzo va a un solo sito.

Se il pannello gestisce la zona DNS del sito, i record A/AAAA vengono aggiornati al nuovo indirizzo; altrimenti aggiornali dal tuo provider DNS. Il certificato HTTPS non cambia. Se un giorno l'indirizzo viene tolto dal server, il sito torna sull'indirizzo condiviso alla prima modifica, invece di bloccare il server web. Quando sposti l'account su un altro server il sito parte con l'indirizzo condiviso.