Certificate Management Service:Instalar um certificado SSL em um servidor Apache (Linux)

Pré-requisitos

Antes de começar, certifique-se de que você possui:

• Um certificado SSL válido emitido por uma autoridade certificadora (CA) confiável. Se o seu certificado estiver prestes a expirar ou já tiver expirado, renove-o antes de prosseguir.

• Um certificado que cubra todos os domínios que você deseja proteger. Para adicionar ou alterar domínios vinculados, compre um novo certificado ou atualize os domínios vinculados.

• Uma conta root ou uma conta com privilégios sudo no servidor.

• Um registro DNS para o domínio que resolva para o endereço IP público do seu servidor.

• Resolução DNS: O nome de domínio resolve para o endereço IP público do servidor.

Regras de cobertura de domínio:

Etapa 1: Preparar os arquivos de certificado

1. Acesse a página SSL Certificate Management. Na coluna Actions do seu certificado, clique em Download Certificate. Na aba Download, selecione Apache como Server Type e baixe o pacote.

2. Extraia o pacote baixado. O pacote contém dois ou três arquivos, dependendo de como a Solicitação de Assinatura de Certificado (CSR) foi gerada:

   Nota

   Se você gerou a CSR com OpenSSL ou Keytool, a chave privada foi salva apenas na sua máquina local e não está incluída no pacote baixado. Caso a chave privada seja perdida, o certificado não poderá ser utilizado. Adquira um novo certificado e gere uma nova CSR e chave privada.

   Cenário	Arquivos no pacote	Ação
   Chave gerenciada pelo sistema (CSR gerada pela Alibaba Cloud)	<bound_domain_name>_public.crt, <bound_domain_name>_chain.crt, <bound_domain_name>.key	Armazene todos os três arquivos em um local seguro.
   Chave autogerenciada (CSR gerada com OpenSSL ou Keytool)	Apenas <bound_domain_name>_public.crt, <bound_domain_name>_chain.crt	Implante estes arquivos juntamente com o arquivo de chave privada que você salvou localmente ao gerar a CSR.

3. Faça upload do arquivo de certificado, do arquivo de cadeia de certificados e do arquivo de chave privada para um diretório seguro no seu servidor, como /etc/ssl/cert.

   Nota

   Use uma ferramenta de login remoto, como PuTTY, Xshell ou WinSCP, para fazer upload dos arquivos. Se o seu servidor for uma instância do Elastic Compute Service (ECS) da Alibaba Cloud, consulte Upload ou download de arquivos.

Etapa 2: Abrir a porta 443

Certifique-se de que o firewall e o grupo de segurança do seu servidor permitam tráfego de entrada na porta 443.

command -v nc > /dev/null 2>&1 || sudo yum install -y nc
# Replace <your_server_public_ip> with the public IP address of your server.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
# Replace <your_server_public_ip> with the public IP address of your server.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
    echo "firewalld"
elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
    echo "ufw"
elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
    echo "nftables"
elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
    echo "iptables"
elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
    echo "iptables"
else
    echo "none"
fi

sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

sudo ufw allow 443/tcp

sudo nft add table inet filter 2>/dev/null
sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

sudo yum install -y iptables-services
sudo service iptables save

sudo apt-get install -y iptables-persistent
sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

Etapa 3: Instalar o certificado no Apache

Os passos de configuração variam conforme a versão do Apache. Verifique sua versão primeiro e siga as instruções correspondentes.

httpd -v

apache2 -v

httpd -M | grep 'ssl_module'

apachectl -M | grep 'ssl_module'

sudo yum install -y mod_ssl
# For RHEL/CentOS 8.0 and later:
sudo dnf install -y mod_ssl

sudo a2enmod ssl

# Append the certificate chain to the server certificate to create a complete chain file.
cat domain_name_public.crt domain_name_chain.crt > domain_name_fullchain.pem

vim /etc/httpd/conf.d/ssl.conf

<VirtualHost *:443>

    # Replace example.com with the domain name you want to secure.
    ServerName example.com

    # Certificate file. Use the path to the combined fullchain file.
    SSLCertificateFile /etc/ssl/cert/domain_name_fullchain.pem

    # Private key file. Replace with the path to your private key file.
    SSLCertificateKeyFile /etc/ssl/cert/domain_name.key

    # Other configurations
    # ...

</VirtualHost>

vim /etc/httpd/conf.d/ssl.conf

<VirtualHost *:443>

    # Replace example.com with the domain name bound to your certificate.
    ServerName example.com

    # Certificate file. Replace with the path to your certificate file.
    SSLCertificateFile /etc/ssl/cert/domain_name_public.crt

    # Certificate chain file (specified separately). Replace with the actual path.
    SSLCertificateChainFile /etc/ssl/cert/domain_name_chain.crt

    # Private key file. Replace with the path to your private key file.
    SSLCertificateKeyFile /etc/ssl/cert/domain_name.key

    # Other configurations
    # ...

</VirtualHost>

sudo httpd -t

sudo apache2ctl -t

# Reload (graceful, recommended):
sudo systemctl reload httpd

# Restart (force restart):
sudo systemctl restart httpd

# Reload (graceful, recommended):
sudo systemctl reload apache2

# Restart (force restart):
sudo systemctl restart apache2

Etapa 4: Verificar a instalação

Abra https://yourdomain no navegador (substitua yourdomain pelo seu domínio real). Um ícone de cadeado na barra de endereços confirma que o certificado está ativo.

Se nenhum ícone de cadeado aparecer ou se ocorrer um erro de acesso, limpe o cache do navegador ou tente novamente no modo anônimo.

A partir do Chrome 117, o ícone foi substituído por . Clique neste ícone para visualizar os detalhes do certificado.

Entrando em produção

Adote estas práticas antes de implantar em produção:

• Use uma conta de service sem privilégios de root: Crie um usuário de sistema dedicado e com baixos privilégios para o Apache. Nunca execute o servidor sob uma conta root ou de administrador.

  Nota

  Considere terminar o SSL na camada de balanceador de carga — implante o certificado em um Server Load Balancer (SLB), que lida com HTTPS e encaminha o tráfego HTTP descriptografado para os servidores de backend.

• Mantenha credenciais fora do código: Nunca codifique senhas ou chaves privadas diretamente nos arquivos de configuração. Injete credenciais por meio de variáveis de ambiente, HashiCorp Vault ou um service de gerenciamento de chaves na cloud.

• Redirecione HTTP para HTTPS: Configure o Apache para redirecionar todo o tráfego HTTP para HTTPS, evitando ataques man-in-the-middle.

• Desative protocolos TLS legados: Na configuração do Apache, desative SSLv3, TLSv1.0 e TLSv1.1. Ative apenas TLSv1.2 e TLSv1.3.

• Monitore e renove antes da expiração: Após a implantação, ative o monitoramento de domínio. A Alibaba Cloud verifica a validade do certificado e envia lembretes de renovação antes da expiração. Consulte Adquirir e ativar o monitoramento de nome de domínio público.

FAQ