Certificate Management Service:Instalar um certificado SSL em uma aplicação Spring Boot (Linux)

Pré-requisitos

Antes de começar, verifique se você possui:

• Um certificado SSL válido emitido por uma autoridade certificadora confiável. Se o certificado estiver expirando ou já tiver expirado, renove-o antes de prosseguir.

• Um certificado que cubra seus nomes de domínio. Para adicionar ou alterar domínios, compre um certificado comercial ou adicione e substitua nomes de domínio.

  Para proteger subdomínios de vários níveis, o campo Bound Domains deve conter o domínio exato (por exemplo, a.b.example.com ) ou o wildcard correspondente (por exemplo, *.b.example.com ).

  Tipo de nome de domínio	Cobertura
  Correspondência exata (example.com)	Apenas example.com
  Correspondência exata (www.example.com)	Apenas www.example.com
  Wildcard (*.example.com)	Subdomínios de primeiro nível: www.example.com, a.example.com — não inclui o domínio raiz example.com nem subdomínios multiníveis como a.b.example.com

• Acesso ao servidor: conta root ou com privilégios sudo.

• DNS configurado: o registro DNS do domínio deve resolver para o endereço IP público do servidor.

• Resolução DNS: o nome de domínio resolve para o endereço IP público do servidor.

• Java 8 ou superior instalado no servidor.

Arquivos necessários:

Etapa 1: Preparar os arquivos de certificado

1. Acesse o console do Certificate Management Service. Na coluna Actions do certificado desejado, clique em Download Certificate. Na aba Download, selecione JKS como tipo de servidor e baixe o arquivo de certificado.

   O Spring Boot suporta os formatos JKS e PKCS12 (.pfx). Este guia usa PKCS12 como exemplo. Após extrair o arquivo baixado, você obterá um arquivo de certificado (por exemplo, domain.p12 ) e um arquivo de senha ( p12-password.txt ).

2. Faça upload do arquivo de certificado (.pfx ou .jks) e do arquivo de senha (.txt) para o servidor. Armazene-os em um diretório seguro fora da aplicação, como /etc/ssl/myapp. Para transferir arquivos, use o recurso de transferência de sua ferramenta de acesso remoto (PuTTY, Xshell ou WinSCP). Se o servidor estiver no Alibaba Cloud Elastic Compute Service (ECS), consulte Upload ou download de arquivos.

   Importante

   Não coloque arquivos de certificado ou chave privada no diretório src/main/resources. Essa prática empacota chaves sensíveis nos artefatos da aplicação (arquivos JAR ou WAR) e aumenta o risco de vazamento.

Etapa 2: Configurar a aplicação Spring Boot

1. Defina variáveis de ambiente para as senhas dos certificados:

   # Get the password from the password file you downloaded earlier.
   export SSL_KEYSTORE_PASSWORD='your_secure_password'
   # If the private key password differs from the keystore password, set it as well.
   export SSL_KEY_PASSWORD='your_key_password'

2. Configure o SSL no arquivo application.properties ou application.yml. Este guia usa o Spring Boot 3.4.10 como exemplo.

   application.properties

   # Listen on port 443
   server.port=443
   
   # --- SSL configuration ---
   # Path to the certificate file. Use the 'file:' prefix to specify an external absolute path.
   server.ssl.key-store=file:/etc/myapp/ssl/keystore.p12
   # Type of the certificate keystore.
   server.ssl.key-store-type=PKCS12
   # Certificate alias, which is usually specified when generating the JKS/P12 file.
   server.ssl.key-alias=mycert
   
   # --- Password management ---
   # Read the password from an environment variable to avoid hard-coding it in the configuration file.
   server.ssl.key-store-password=${SSL_KEYSTORE_PASSWORD}
   # If the private key password differs from the keystore password, read it from an environment variable as well.
   server.ssl.key-password=${SSL_KEY_PASSWORD}
   
   # --- TLS protocols and cipher suites ---
   # Enable secure TLS protocol versions.
   server.ssl.enabled-protocols=TLSv1.2,TLSv1.3
   # Configure recommended strong cipher suites.
   server.ssl.ciphers=TLS_AES_256_GCM_SHA384,TLS_CHACHA20_POLY1305_SHA256,TLS_AES_128_GCM_SHA256,ECDHE-RSA-AES256-GCM-SHA384,ECDHE-RSA-AES128-GCM-SHA256
   
   # Enable HTTP/2 to improve performance.
   server.http2.enabled=true

   application.yml

   server:
     port: 443 # Listen on port 443
   
     ssl:
       # --- SSL configuration ---
       # Path to the certificate file. Use the 'file:' prefix to specify an external absolute path.
       key-store: file:/etc/myapp/ssl/keystore.p12
       # Type of the certificate keystore.
       key-store-type: PKCS12
       # Certificate alias, which is usually specified when generating the JKS/P12 file.
       key-alias: mycert
   
       # --- Password management ---
       # Read the password from an environment variable to avoid hard-coding it in the configuration file.
       key-store-password: ${SSL_KEYSTORE_PASSWORD}
       # If the private key password differs from the keystore password, read it from an environment variable as well.
       key-password: ${SSL_KEY_PASSWORD}
   
       # --- TLS protocols and cipher suites ---
       # Enable secure TLS protocol versions.
       enabled-protocols: TLSv1.2,TLSv1.3
       # Configure recommended strong cipher suites.
       ciphers:
         - TLS_AES_256_GCM_SHA384
         - TLS_CHACHA20_POLY1305_SHA256
         - TLS_AES_128_GCM_SHA256
         - ECDHE-RSA-AES256-GCM-SHA384
         - ECDHE-RSA-AES128-GCM-SHA256
   
     # Enable HTTP/2 to improve performance.
     http2:
       enabled: true

Etapa 3: Abrir a porta 443

Garanta que tanto o firewall do sistema quanto o grupo de segurança na nuvem permitam tráfego de entrada na porta TCP 443.

command -v nc > /dev/null 2>&1 || sudo yum install -y nc
# Replace <your_server_public_ip> with the public IP address of your server.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
# Replace <your_server_public_ip> with the public IP address of your server.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
    echo "firewalld"
elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
    echo "ufw"
elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
    echo "nftables"
elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
    echo "iptables"
elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
    echo "iptables"
else
    echo "none"
fi

sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

sudo ufw allow 443/tcp

sudo nft add table inet filter 2>/dev/null
sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Etapa 4: Iniciar ou reiniciar a aplicação

Acesse o diretório raiz do projeto Spring Boot e execute o comando adequado para sua ferramenta de build e ambiente.

# 1. Find and stop the running process.
# ps -ef | grep your-app-name.jar
# kill <PID>
#
# 2. Restart the application. Add any JVM arguments before '&'.
nohup java -jar /path/to/your-app-name.jar &

Após reiniciar, verifique os logs da aplicação para confirmar se o serviço carregou o certificado SSL e iniciou na porta HTTPS.

Etapa 5: Verificar a implantação

1. Abra um navegador e acesse https://yourdomain, substituindo yourdomain pelo seu domínio real.

2. Se o certificado estiver implantado corretamente, um indicador de segurança aparecerá na barra de endereços. Caso encontre erros de acesso ou o indicador não apareça, limpe o cache do navegador ou tente usar o modo anônimo.

A partir da versão 117, o ícone na barra de endereços do Chrome foi substituído pelo novo ícone . Clique neste ícone para visualizar os detalhes do certificado.

Se o problema persistir, consulte a seção de perguntas frequentes para orientações sobre solução de problemas.

Entrando em produção

Antes de expor a aplicação em produção, aplique estas melhores práticas:

• Execute como usuário sem privilégios administrativos. Crie um usuário de sistema dedicado e com baixos privilégios para a aplicação. Nunca execute com contas de nível administrativo.

  Para implantações de produção em grande escala, configure o SSL na camada de gateway — implante o certificado em um Server Load Balancer (SLB) ou em um proxy reverso como o Nginx. O gateway termina o tráfego HTTPS e encaminha o tráfego HTTP descriptografado para a aplicação backend.

• Externalize o gerenciamento de credenciais. Jamais codifique senhas ou outras informações sensíveis no código ou em arquivos de configuração. Injete credenciais via variáveis de ambiente, Vault ou um serviço de gerenciamento de chaves na nuvem.

• Redirecione HTTP para HTTPS. Redirecione todo o tráfego HTTP para HTTPS para evitar ataques man-in-the-middle.

• Use apenas protocolos TLS modernos. Desative SSLv3, TLSv1.0 e TLSv1.1. Ative apenas TLSv1.2 e TLSv1.3.

• Monitore certificados e automatize a renovação. Após a implantação, ative o monitoramento de domínios. O Certificate Management Service verifica automaticamente a validade dos certificados e envia lembretes de renovação antes da expiração. Para instruções de configuração, consulte Comprar e ativar monitoramento de nome de domínio público.

Perguntas frequentes