Certificate Management Service:Instalar um certificado SSL/TLS em um servidor Apache (Windows)

Pré-requisitos

Etapa 1: Preparar o certificado

1. Acesse a página do SSL Certificate Service. Na coluna Actions do certificado, clique em More para abrir a página de detalhes. Na aba Download, baixe o certificado para o Server Type Apache.

2. Extraia o pacote de certificado baixado.

   • Se o pacote contiver um arquivo de certificado (<your_domain_name>_public.crt), um arquivo de cadeia de certificados (<your_domain_name>_chain.crt) e um arquivo de chave privada (<your_domain_name>.key), armazene os três arquivos com segurança para implantação.

   • Caso o pacote contenha apenas um arquivo de certificado (<your_domain_name>_public.crt) e um arquivo de cadeia de certificados (<your_domain_name>_chain.crt) sem o arquivo de chave privada (<your_domain_name>.key), use o arquivo de chave privada salvo localmente.

     Nota

     Se você gerou a CSR com OpenSSL ou Keytool, a chave privada existe apenas na máquina local. Se perdida, o certificado torna-se inutilizável e você deve comprar um novo certificado comercial com uma nova CSR e chave privada.

3. Faça upload dos arquivos de certificado, cadeia e chave privada para um diretório fora da raiz da web. Este guia usa D:\cert.

   Nota

   As etapas a seguir usam uma instância do Alibaba Cloud ECS como exemplo. Para outros tipos de servidor, consulte a documentação correspondente.

   1. Acesse ECS console - Instances. No canto superior esquerdo, selecione a região e o grupo de recursos do recurso de destino.

   2. Na página de detalhes da instância, clique em Connect e selecione Workbench. Faça logon na área de trabalho do servidor.

   3. Clique no menu Start e abra This PC, Computer ou File Explorer.

   4. Em Redirected drives and folders, clique duas vezes em workbench on *. Arraste os arquivos de certificado para este diretório, clique com o botão direito e selecione Refresh**.

   5. Copie os arquivos para o diretório D:\cert.

      Importante

      O Workbench limpa todos os arquivos enviados de Redirected drives and folders ao reconectar ou sair. Use este diretório apenas para transferência — não armazene arquivos aqui permanentemente.

Etapa 3: Implantar o certificado

Abra o Prompt de Comando (cmd.exe) como administrador:

1. Navegue até o diretório de instalação do Apache e verifique a versão.

   # In the command line, go to the Apache installation directory and use a relative path to run the command.
   .\httpd.exe -v

2. Modifique o arquivo de configuração com base na versão do Apache.

   Apache 2.4.8 e posterior

   1. Combine os arquivos de certificado.

      Se houver um certificado intermediário, anexe o certificado do servidor (your_domain_name_public.crt) e o arquivo de cadeia (your_domain_name_chain.crt) em um arquivo combinado (your_domain_name_fullchain.pem).

      # Append the content of the intermediate certificate file to the server certificate file to form a complete certificate chain.
      copy /b your_domain_name_public.crt + your_domain_name_chain.crt your_domain_name_fullchain.pem

      Após a combinação, serão necessários apenas dois arquivos: your_domain_name_fullchain.pem e your_domain_name.key.

   2. Edite o arquivo de configuração.

      Abra o arquivo de configuração SSL (por exemplo, httpd-ssl.conf) e adicione o seguinte:

      <VirtualHost *:443>
      
          # Replace example.com with the domain name that is bound to your certificate.
          ServerName example.com
      
          # Enable the SSL engine.
          SSLEngine on
      
          # Certificate file. Use the path to the actual combined certificate file (your_domain_name_fullchain.pem).
          # If you do not have an intermediate certificate file, use the path to the server certificate file (your_domain_name_public.crt).
          SSLCertificateFile D:\cert\your_domain_name_fullchain.pem
      
          # Private key file. Replace this with the path to your actual private key file.
          SSLCertificateKeyFile D:\cert\your_domain_name.key
      
          # Other configurations
          # ...
      
      </VirtualHost>

   Apache 2.4.7 e anterior

   Abra o arquivo de configuração SSL (por exemplo, httpd-ssl.conf) e adicione o seguinte:

   <VirtualHost *:443>
   
       # Replace example.com with the domain name that is bound to your certificate.
       ServerName example.com
   
       # Enable the SSL engine.
       SSLEngine on
   
       # Certificate file. Replace this with the path to your actual certificate file.
       SSLCertificateFile D:\cert\your_domain_name_public.crt
   
       # Certificate chain file (specified separately). Replace this with the path to your actual intermediate certificate file.
       # If you do not have an intermediate certificate, you do not need to configure this directive.
       SSLCertificateChainFile D:\cert\your_domain_name_chain.crt
   
       # Private key file. Replace this with the path to your actual private key file.
       SSLCertificateKeyFile D:\cert\your_domain_name.key
   
       # Other configurations
       # ...
   
   </VirtualHost>

3. Opcional: Configure o redirecionamento automático de HTTP para HTTPS.

   Adicione a diretiva Rewrite ao bloco <VirtualHost> do domínio:

   <VirtualHost *:80>
       ServerName example.com
       RewriteEngine On
       RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
   </VirtualHost>

4. Salve a configuração, navegue até o diretório bin do Apache e verifique se há erros de sintaxe.

   .\httpd.exe -t

   A mensagem Syntax OK confirma que a configuração está correta. Se um erro for retornado, corrija-o com base na mensagem de erro.

5. Reinicie o service do Apache.

   Após a aprovação na verificação de sintaxe, execute o comando a seguir para reiniciar o Apache e aplicar a configuração.

   .\httpd.exe -k restart

   Nota

   Alternativamente, localize e reinicie o service do Apache nos Serviços do Windows (services.msc).

Etapa 4: Verificar a implantação

Implantação em produção

Ao implantar uma aplicação em ambiente de produção, siga estas práticas recomendadas para melhorar a segurança, a estabilidade e a manutenibilidade:

• Execute a aplicação como um usuário não administrador:

  Crie um usuário de sistema dedicado e com baixos privilégios para a aplicação. Não execute a aplicação usando uma conta com permissões administrativas.

  Nota

  Recomendamos o uso de uma configuração SSL no nível de gateway. Isso envolve implantar o certificado em um proxy reverso, como uma instância SLB ou Nginx.

• Externalize o gerenciamento de credenciais:

  Não codifique informações sensíveis, como senhas, diretamente no código ou nos arquivos de configuração. Use variáveis de ambiente, um cofre ou um Key Management Service fornecido pelo provedor cloud para injetar credenciais.

• Force o redirecionamento de HTTP para HTTPS:

  Garanta que todo o tráfego de acesso ao site via HTTP seja automaticamente redirecionado para HTTPS. Isso ajuda a prevenir ataques man-in-the-middle (MITM).

• Configure protocolos TLS modernos:

  Na configuração do servidor, desative protocolos obsoletos e inseguros, como SSLv3, TLS 1.0 e TLS 1.1. Ative apenas TLS 1.2 e TLS 1.3.

• Monitore certificados e automatize a renovação:

  Após a implantação do certificado, recomendamos ativar o monitoramento de nomes de domínio. O Alibaba Cloud verifica automaticamente o período de validade do certificado e envia lembretes antes da expiração. Isso ajuda a renovar o certificado em tempo hábil para evitar interrupções no service. Para mais informações, consulte Purchase and enable public domain name monitoring.

Certificado não funciona ou HTTPS inacessível

Causas comuns:

• A porta 443 não está aberta no grupo de segurança ou no firewall do servidor. Para mais informações, consulte Step 2: Configure system and network settings.

• O nome de domínio não corresponde a nenhum domínio listado em Bound Domains do certificado. Verifique Domain name matching.

• O service do Apache não foi reiniciado após a alteração de configuração. Reinicie-o conforme descrito em Step 3: Deploy the certificate.

• Os arquivos de certificado não foram substituídos corretamente ou a configuração aponta para caminhos incorretos. Verifique se os arquivos de certificado e a configuração do Apache estão atualizados e válidos.

• O nome de domínio está integrado a serviços cloud como CDN, SLB ou WAF, mas o certificado não está instalado no service correspondente. Para mais informações, consulte Certificate deployment location when traffic passes through multiple cloud services.

• O nome de domínio resolve para múltiplos servidores, mas o certificado está instalado apenas em alguns deles. Instale o certificado em cada servidor.

Como atualizar ou substituir um certificado SSL instalado no Apache

Faça backup dos arquivos de certificado existentes (.crt e .key). Baixe o novo certificado no console do SSL Certificate Service, faça upload dos arquivos mantendo os mesmos caminhos e nomes de arquivo no servidor e reinicie o Apache.