آموزش امن‌سازی آپاچی با Let’s Encrypt روی اوبونتو

کیانا3 هفته پیش

0 51 خواندن این مطلب 11 دقیقه زمان میبرد

مقدمه

امن‌سازی آپاچی با Let’s Encrypt روی اوبونتو به این شکل است: Certbot را نصب می‌کنید، آپاچی را با یک Virtual Host به دامنه خود متصل می‌کنید، دستور sudo certbot --apache را اجرا می‌کنید و سپس تنظیمات TLS را تقویت کرده و تمدید خودکار را تأیید می‌کنید. وقتی کارتان تمام شود، بازدیدکنندگان سایت شما را از طریق HTTPS و با گواهی معتبری از Let’s Encrypt مشاهده خواهند کرد؛ Let’s Encrypt یک مرجع صدور گواهی (CA) غیرانتفاعی است که توسط گروه تحقیقاتی امنیت اینترنت (ISRG) اداره می‌شود.

Let’s Encrypt گواهی‌های TLS از نوع اعتبارسنجی دامنه (DV) را به‌صورت رایگان صادر می‌کند. Certbot کلاینت ACME پیشنهادی روی اوبونتو است. این ابزار گواهی را درخواست می‌کند، اثبات می‌کند که دامنه در کنترل شماست و آپاچی را برای HTTPS به‌روزرسانی می‌کند.

این آموزش برای اوبونتو 22.04 LTS، 24.04 LTS (Noble Numbat) و 26.04 LTS (Resolute Raccoon) همراه با آپاچی 2.4 نوشته شده است. در این آموزش از یک فایل Virtual Host اختصاصی استفاده می‌شود (نه صرفاً سایت پیش‌فرض). اگر هنوز از اوبونتو 20.04 استفاده می‌کنید، نسخه مخصوص اوبونتو 20.04 این آموزش را ببینید.

سایت خود را روی سرور پارمین کلود میزبانی کنید و DNS آن را از پنل مدیریت مدیریت کنید.

نکته نسخه: دستورات این مقاله روی اوبونتو 22.04، 24.04 و 26.04 LTS با نسخه آپاچیِ موجود در مخازن پیش‌فرض بررسی شده‌اند. اوبونتو 26.04 LTS در آوریل 2026 عرضه شده است. Certbot طبق دستورالعمل EFF از طریق snap نصب می‌شود، نه مسیر قدیمی apt install certbot. تمدید گواهی‌ها هم با یک تایمر systemd انجام می‌شود (در نصب‌های snap معمولاً با نام snap.certbot.renew.timer).

نکات کلیدی

Certbot را با sudo snap install --classic certbot نصب کنید و لینک /snap/bin/certbot را در PATH خود قرار دهید.
آپاچی پیش از اجرای sudo certbot --apache باید در یک Virtual Host دارای ServerName و ServerAlias درست باشد.
HTTPS را در UFW با sudo ufw allow 'Apache Full' باز کنید و در صورت زائد بودن، پروفایل ساده Apache را حذف کنید.
گواهی‌های Let’s Encrypt 90 روز اعتبار دارند. Certbot زمانی گواهی را تمدید می‌کند که کمتر از 30 روز تا انقضای آن باقی مانده باشد.
TLS را در /etc/apache2/mods-available/ssl.conf یا یک فایل conf سفارشی تقویت کنید: TLS 1.0/1.1 را غیرفعال کنید، OCSP Stapling را فعال کنید و HSTS را با mod_headers اضافه کنید.
تمدید را با sudo certbot renew --dry-run تست کنید و در صورت بروز خطا، فایل /var/log/letsencrypt/letsencrypt.log را بررسی کنید.
محدودیت‌های نرخ (Rate Limit) اعمال می‌شوند: مستندات محدودیت‌های Let’s Encrypt را ببینید (مثلاً 50 گواهی در هفته برای هر دامنه ثبت‌شده).
روی اوبونتو 26.04 LTS همان مسیرهای Certbot مبتنی بر snap و آپاچی اعمال می‌شوند. نسخه‌ها را با lsb_release، apache2 -v و openssl version بررسی کنید.

فرایند صدور گواهی Let’s Encrypt چطور کار می‌کند

خروجی ساده‌شده فرایند صدور گواهی Let’s Encrypt به این شرح است:

[تصویر: فلوچارت نمایش ترافیک HTTPS از مرورگر بازدیدکننده به آپاچی با استفاده از گواهی Let’s Encrypt، اعتبارسنجی HTTP-01 اولیه Certbot روی پورت 80 با API مربوط به ACME در Let’s Encrypt، و تمدید خودکار از طریق تایمر systemd]

شکل: سرو کردن HTTPS، صدور گواهی اولیه با Certbot و تمدید خودکار روی اوبونتو.

مرورگر شما درخواست https://your_domain را ارسال می‌کند.
آپاچی گواهی را از /etc/letsencrypt/live/your_domain/ ارائه می‌دهد.
بار اول که Certbot را اجرا می‌کنید، برای اثبات مالکیت دامنه روی پورت 80، یک فایل چالش (Challenge) موقت قرار می‌دهد یا از پلاگین آپاچی استفاده می‌کند.
API مربوط به ACME در Let’s Encrypt گواهی را صادر می‌کند. Certbot کلیدها را روی سرور شما ذخیره می‌کند (Let’s Encrypt هرگز کلید خصوصی شما را در اختیار ندارد).
یک تایمر systemd روزی دو بار certbot renew را اجرا می‌کند و گواهی‌ها را پیش از انقضا تمدید می‌کند.
برای اعتبارسنجی HTTP-01، پورت 80 باید از اینترنت به سرور شما دسترسی داشته باشد؛ مگر اینکه برای وایلدکارت از پلاگین DNS استفاده کنید.

پیش‌نیازها

برای دنبال کردن این آموزش به موارد زیر نیاز دارید:

یک سرور اوبونتو 22.04، 24.04 یا 26.04 LTS با یک کاربر غیر root دارای دسترسی sudo و فایروال. برای راه‌اندازی، راهنمای راه‌اندازی اولیه سرور اوبونتو را ببینید. روی سرورهای پارمین کلود، اگر جدیدترین نسخه LTS را می‌خواهید، هنگام ساخت ماشین مجازی ایمیج 26.04 LTS را انتخاب کنید.
یک دامنه ثبت‌شده. در این راهنما از your_domain به‌عنوان نام نمونه استفاده می‌شود.
رکوردهای DNS از نوع A برای your_domain و www.your_domain که به IP عمومی سرور شما اشاره کنند. مستندات DNS پارمین کلود را ببینید.
آپاچی نصب‌شده به‌همراه یک Virtual Host در مسیر /etc/apache2/sites-available/your_domain.conf.
اختیاری: UFW پیکربندی‌شده.

بررسی محیط خود

پیش از نصب یا تمدید گواهی‌ها، این بررسی‌ها را روی سرور اجرا کنید تا مطمئن شوید روی یک نسخه LTS پشتیبانی‌شده هستید و آپاچی آماده است.

بررسی نسخه اوبونتو:

lsb_release -ds

باید یکی از این موارد را ببینید: Ubuntu 22.04.x LTS، Ubuntu 24.04.x LTS یا Ubuntu 26.04.x LTS.

تأیید نصب آپاچی و بررسی نسخه (شماره پکیج با به‌روزرسانی‌های امنیتی تغییر می‌کند):

apache2 -v

نمونه خط اول روی ایمیج‌های فعلی LTS:

Server version: Apache/2.4.58 (Ubuntu)

خروجی شما روی 22.04 یا 26.04 ممکن است متفاوت باشد. برای مقایسه، جست‌وجوی پکیج‌های اوبونتو را برای نسخه خودتان (jammy، noble یا resolute) ببینید.

تأیید OpenSSL (TLS 1.2 و 1.3 به OpenSSL نسخه 1.1.1 یا جدیدتر نیاز دارند؛ نسخه‌های 22.04 به بعد همراه OpenSSL 3.x عرضه می‌شوند):

openssl version

تأیید فعال بودن آپاچی:

sudo systemctl is-active apache2

باید کلمه active را ببینید. اگر آپاچی نصب نیست، ابتدا راهنمای نصب وب‌سرور آپاچی روی اوبونتو 22.04 را دنبال کنید. همین فرایند apt install apache2 روی 24.04 و 26.04 هم اعمال می‌شود.

نسخه LTS اوبونتو	نام رمز	آپاچی در مخازن پیش‌فرض (تقریبی)
22.04	Jammy	2.4.52 یا جدیدتر
24.04	Noble	2.4.58 یا جدیدتر
26.04	Resolute	2.4.x (روی سرور خودتان `apache2 -v` را اجرا کنید)

اینجا شماره دقیق نسخه پکیج آپاچی برای 26.04 را مشخص نکرده‌ام، چون به‌روزرسانی‌های امنیتی رشته نسخه Build را تغییر می‌دهند. همیشه به خروجی apache2 -v روی سرور خودتان اعتماد کنید.

مرحله ۱: نصب Certbot

روی اوبونتو 22.04، 24.04 و 26.04، تیم Certbot پکیج snap را به پکیج‌های Certbot مخازن پیش‌فرض apt ترجیح می‌دهد.

نصب snapd و Certbot

پکیج‌ها را به‌روز کرده و snapd را نصب کنید (روی ایمیج‌های مینیمال، ممکن است snapd از قبل روی ایمیج‌های ابری اوبونتو 26.04 موجود باشد):

sudo apt update
sudo apt install snapd -y

پیش از نصب Certbot، هسته snap (core) را رفرش کنید (روی سرورهای جدید 22.04، 24.04 و 26.04 توصیه می‌شود):

sudo snap install core
sudo snap refresh core

هرگونه پکیج قدیمی Certbot را از apt حذف کنید تا باینری snap استفاده شود:

sudo apt remove certbot python3-certbot-apache 2>/dev/null || true

نصب Certbot از snap:

sudo snap install --classic certbot

آماده‌سازی دستور certbot (EFF این symlink را مستند کرده است):

sudo ln -sf /snap/bin/certbot /usr/bin/certbot

تأیید نسخه:

certbot --version

باید یک رشته نسخه Certbot را ببینید. شماره دقیق با به‌روزرسانی‌های snap تغییر می‌کند.

تأیید اینکه snap پلاگین آپاچی و تایمر تمدید را فراهم می‌کند:

sudo certbot plugins

در فهرست نمایش‌داده‌شده به‌دنبال پلاگین apache بگردید.

snap list certbot
systemctl list-timers --all | grep -i certbot

در نصب‌های snap، معمولاً پس از اولین اجرای موفق certbot --apache، تایمر snap.certbot.renew.timer را می‌بینید.

نکات اوبونتو 26.04 LTS

اوبونتو 26.04 LTS (Resolute Raccoon) از همان مسیرهای 22.04 و 24.04 استفاده می‌کند: /etc/apache2/، a2ensite، apachectl configtest و پروفایل UFW با نام Apache Full. Certbot نیز همچنان گواهی‌ها را زیر /etc/letsencrypt/ ذخیره می‌کند.

اگر certbot باینری اشتباهی را اجرا می‌کند، بررسی کنید کدام کپی پاسخ می‌دهد:

which -a certbot

پکیج‌های apt باقی‌مانده را حذف کنید و symlink موجود در /usr/bin/certbot را طوری نگه دارید که به /snap/bin/certbot اشاره کند.

مرحله ۲: بررسی پیکربندی Virtual Host آپاچی

Certbot از Virtual Host شما، ServerName و ServerAlias را می‌خواند تا بفهمد کدام نام‌ها باید روی گواهی قرار بگیرند.

فایل سایت خود را باز کنید:

sudo nano /etc/apache2/sites-available/your_domain.conf

مطمئن شوید این خطوط داخل بلوک <VirtualHost *:80> وجود دارند:

ServerName your_domain
ServerAlias www.your_domain

در صورتی که هنوز انجام نداده‌اید، سایت و ماژول‌های لازم را فعال کنید:

sudo a2ensite your_domain.conf
sudo a2enmod ssl
sudo systemctl reload apache2

پیش از هر reload، سینتکس را تست کنید:

sudo apachectl configtest

باید پیام Syntax OK را ببینید. غلط‌های تایپی را رفع کنید، سپس reload کنید:

sudo systemctl reload apache2

مرحله ۳: باز کردن HTTPS در فایروال

اگر UFW فعال است، HTTP و HTTPS را با پروفایل Apache Full باز کنید.

قوانین فعلی را بررسی کنید:

sudo ufw status

اگر فقط Apache (پورت 80) باز است، پروفایل کامل را اضافه کنید:

sudo ufw allow 'Apache Full'

در صورت زائد بودن، پروفایل محدودتر را حذف کنید:

sudo ufw delete allow 'Apache'

بررسی نهایی:

sudo ufw status

پروفایل UFW	پورت‌های باز	کاربرد معمول
Apache	80/tcp	فقط HTTP
Apache Full	80/tcp, 443/tcp	HTTP و HTTPS
Apache (v6) / Apache Full (v6)	همان پورت‌ها روی IPv6	هاست‌های Dual-stack

تمدید گواهی از HTTP-01 روی پورت 80 استفاده می‌کند. حتی بعد از فعال شدن HTTPS، پورت 80 را باز نگه دارید.

مرحله ۴: دریافت گواهی SSL

Certbot را همراه با پلاگین آپاچی اجرا کنید:

sudo certbot --apache

Certbot از شما این موارد را می‌پرسد:

یک آدرس ایمیل برای اطلاعیه‌های تمدید و امنیتی
موافقت با توافق‌نامه مشترکین (Subscriber Agreement) در Let’s Encrypt
عضویت اختیاری در لیست ایمیل EFF
اینکه کدام hostnameها روی گواهی قرار بگیرند (اغلب هم your_domain و هم www.your_domain)

نمونه خروجی موفق (تاریخ‌ها و مسیرها روی سرور شما متفاوت خواهد بود):

Successfully received certificate.
Certificate is saved at: /etc/letsencrypt/live/your_domain/fullchain.pem
Key is saved at:         /etc/letsencrypt/live/your_domain/privkey.pem
This certificate expires on YYYY-MM-DD.
These files will be updated when the certificate renews.
Certbot has set up a scheduled task to automatically renew this certificate in the background.

Deploying certificate
Successfully deployed certificate for your_domain to /etc/apache2/sites-available/your_domain-le-ssl.conf
Successfully deployed certificate for www.your_domain to /etc/apache2/sites-available/your_domain-le-ssl.conf
Congratulations! You have successfully enabled HTTPS on https://your_domain and https://www.your_domain

آدرس https://your_domain را در مرورگر باز کنید. برای گواهی معتبر، باید آیکون قفل را ببینید.

مسیر فایل‌های گواهی

مسیر	کاربرد
`/etc/letsencrypt/live/your_domain/fullchain.pem`	گواهی به‌همراه زنجیره میانی (در `SSLCertificateFile` آپاچی استفاده می‌شود)
`/etc/letsencrypt/live/your_domain/privkey.pem`	کلید خصوصی (`SSLCertificateKeyFile`)
`/etc/letsencrypt/live/your_domain/cert.pem`	فقط گواهی دامنه
`/etc/letsencrypt/live/your_domain/chain.pem`	گواهی‌های میانی
`/etc/letsencrypt/live/your_domain/README`	یادداشت‌های Certbot
`/etc/letsencrypt/renewal/your_domain.conf`	تنظیمات تمدید این گواهی

فایل‌های زیر دایرکتوری live/ لینک نمادین (Symlink) هستند و Certbot آن‌ها را هنگام تمدید به‌روزرسانی می‌کند.

برای آشنایی بیشتر با کلیدها و فایل‌های CSR، مقاله مبانی OpenSSL را ببینید.

تست با SSL Labs

بعد از تقویت تنظیمات (مرحله ۵)، تست سرور SSL Labs را روی دامنه خود اجرا کنید تا یک نمره خارجی دریافت کنید.

مرحله ۵: تقویت TLS و هدرهای امنیتی HTTP

Certbot فقط HTTPS را فعال می‌کند. شما همچنان باید پروتکل‌های قدیمی را غیرفعال کرده و هدرهای امنیتی را اضافه کنید.

فعال‌سازی ماژول headers

sudo a2enmod headers

پیکربندی پروتکل‌ها و Cipher Suiteهای SSL

پیکربندی ماژول SSL را ویرایش کنید:

sudo nano /etc/apache2/mods-available/ssl.conf

این دستورات (Directive) را داخل فایل اضافه یا به‌روز کنید (کامنت‌ها هر خط را توضیح می‌دهند):

# فقط TLS 1.2 و 1.3 مجاز است. SSLv3، TLS 1.0 و TLS 1.1 حذف می‌شوند.
SSLProtocol             all -SSLv3 -TLSv1 -TLSv1.1

# ترجیح رمزنگاری‌های مدرن AEAD. آپاچی بهترین تطابق را با کلاینت‌ها مذاکره می‌کند.
SSLCipherSuite          ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384

# ترتیب انتخاب رمز با کلاینت باشد (برای TLS 1.3 توصیه می‌شود).
SSLHonorCipherOrder     off

# OCSP Stapling: آپاچی وضعیت ابطال گواهی را به هندشیک الصاق می‌کند.
SSLUseStapling          on
SSLStaplingCache        "shmcb:${APACHE_RUN_DIR}/ssl_stapling(32768)"

پروتکل	آپاچی 2.4 روی اوبونتو 22.04/24.04/26.04	نکات
TLS 1.3	پشتیبانی می‌شود (OpenSSL 3.x روی 22.04 به بعد)	پیش‌فرض روی کلاینت‌های مدرن
TLS 1.2	پشتیبانی می‌شود	حداقل استاندارد برای اکثر سایت‌های production
TLS 1.1 و پایین‌تر	با SSLProtocol بالا غیرفعال می‌شود	برای دریافت نمره قوی در SSL Labs لازم است

اوبونتو 24.04 معمولاً آپاچی 2.4.58 را در مخازن پیش‌فرض دارد. اوبونتو 22.04 نسخه 2.4.52 یا جدیدتر را دارد. روی 26.04، دستور apache2 -v را اجرا کنید و نسخه فعلی پکیج را در packages.ubuntu.com برای نسخه resolute بررسی کنید.

افزودن HSTS و هدرهای امنیتی مرتبط

Virtual Host مربوط به SSL را که Certbot ساخته ویرایش کنید (نام فایل معمولاً با -le-ssl.conf تمام می‌شود):

sudo nano /etc/apache2/sites-available/your_domain-le-ssl.conf

داخل بلوک <VirtualHost *:443> این خطوط را اضافه کنید:

# به مرورگرها اعلام می‌کند یک سال از HTTPS استفاده کنند، شامل زیردامنه‌ها.
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

# کاهش حملات MIME Sniffing.
Header always set X-Content-Type-Options "nosniff"

# محدود کردن نمایش صفحه در فریم‌ها (اگر به iframe نیاز دارید، تنظیمش کنید).
Header always set X-Frame-Options "SAMEORIGIN"

تست و reload:

sudo apachectl configtest
sudo systemctl reload apache2

Certbot معمولاً یک ریدایرکت HTTP به HTTPS اضافه می‌کند. مطمئن شوید http://your_domain به https:// ریدایرکت می‌شود. برای آشنایی با الگوهای ریدایرکت، مقاله ساخت ریدایرکت‌های موقت و دائم با آپاچی را ببینید.

مرحله ۶: تأیید تمدید خودکار گواهی

گواهی‌های Let’s Encrypt بعد از 90 روز منقضی می‌شوند. Certbot یک تایمر systemd نصب می‌کند که روزی دو بار بررسی‌های تمدید را اجرا می‌کند.

بررسی تایمر (نصب‌های snap معمولاً از این نام یونیت استفاده می‌کنند):

sudo systemctl status snap.certbot.renew.timer

اگر این یونیت وجود ندارد، این را امتحان کنید:

sudo systemctl status certbot.timer

فهرست همه تایمرهای Certbot:

systemctl list-timers | grep -i certbot

اجرای یک Dry Run:

sudo certbot renew --dry-run

نمونه پیام موفقیت:

Congratulations, all simulated renewals succeeded:
  /etc/letsencrypt/live/your_domain/fullchain.pem (success)

اگر تمدید شکست خورد

فایل /var/log/letsencrypt/letsencrypt.log را با sudo less بخوانید.
مطمئن شوید پورت 80 از اینترنت قابل دسترسی است (UFW و فایروال‌های ابری را بررسی کنید).
مطمئن شوید DNS همچنان به همین سرور اشاره می‌کند.
بعد از رفع مشکلات، دوباره sudo certbot renew --dry-run را اجرا کنید.

Let’s Encrypt پیش از انقضای گواهی‌ها، به آدرس ایمیلی که ثبت کرده‌اید ایمیل ارسال می‌کند. برای مانیتورینگ در محیط production، تنها به ایمیل تکیه نکنید.

عیب‌یابی مشکلات رایج

شکست اعتبارسنجی دامنه

DNS هنوز اعمال نشده: با dig +short your_domain A مقدار را با IP سرور خود مقایسه کنید.
Virtual Host اشتباه: ServerName باید با دامنه‌ای که گواهی‌اش را درخواست می‌کنید مطابقت داشته باشد.
پورت 80 مسدود است: HTTP-01 به اتصال ورودی TCP روی پورت 80 نیاز دارد. در پارمین کلود، فایروال ابری را به‌همراه UFW بررسی کنید.

خطاهای آپاچی بعد از Certbot

دستور sudo apachectl configtest را اجرا کنید. Certbot فایل‌های زیر /etc/apache2/sites-available/ را ویرایش می‌کند. در صورت نیاز از بکاپ بازیابی کنید یا بعد از رفع غلط‌های تایپی ServerName، دوباره sudo certbot --apache را اجرا کنید.

خطاهای محدودیت نرخ گواهی

Let’s Encrypt محدودیت‌های نرخ (Rate Limit) را اعمال می‌کند. محدودیت «گواهی به تفکیک دامنه ثبت‌شده» 50 عدد در هفته است (برای اعداد به‌روز، مستندات رسمی را ببینید). اگر به محدودیت خوردید، برای ریست شدن بازه زمانی صبر کنید یا هنگام تست از endpoint استیجینگ استفاده کنید:

sudo certbot --apache --staging

گواهی‌های استیجینگ توسط مرورگرها معتبر شناخته نمی‌شوند. فقط برای تست از آن‌ها استفاده کنید.

مسدود شدن تمدید توسط فایروال

در تنظیمات پیش‌فرض، تمدید همچنان از HTTP-01 روی پورت 80 استفاده می‌کند. پروفایل Apache Full یا قوانین صریح 80/tcp و 443/tcp را در جای خود نگه دارید.

مقایسه Let’s Encrypt و مراجع صدور گواهی پولی

عامل	Let’s Encrypt	مرجع پولی (DigiCert، Sectigo و…)
هزینه	رایگان	هزینه سالانه به تفکیک گواهی یا اشتراک
اعتبارسنجی	اعتبارسنجی دامنه (DV)	گزینه‌های DV، OV یا EV
طول عمر گواهی	90 روز (با تمدید خودکار)	اغلب ۱ سال
وایلدکارت	بله، از طریق چالش DNS-01	بله، اغلب با پشتیبانی پولی راحت‌تر
پشتیبانی	انجمن‌های جامعه و مستندات	SLA فروشنده و پشتیبانی تلفنی
مناسب برای	وب‌سایت‌های عمومی، APIها و محیط‌های آزمایشی	برندینگ EV و سیاست‌های سازمانی قدیمی

Let’s Encrypt مناسب است وقتی: سرور در کنترل شماست، تمدید را خودکار می‌کنید و به HTTPS استاندارد DV نیاز دارید.
مرجع پولی مناسب است وقتی: سازمان شما مهرهای OV/EV، مدارک انطباق خاص یا قرارداد پشتیبانی با فروشنده می‌خواهد.

موتور CA/Browser Forum در صنعت درباره کوتاه‌تر شدن طول عمر گواهی‌ها بحث کرده است. تمدید خودکار با Certbot پاسخ عملی این موضوع روی اوبونتو است، فارغ از تغییرات احتمالی آینده در طول عمر گواهی‌ها. اخبار سیاست‌ها را در وبلاگ Let’s Encrypt دنبال کنید.

سوالات متداول

۱. چطور از Let’s Encrypt روی اوبونتو همراه با آپاچی استفاده کنم؟

Certbot را از snap نصب کنید، ServerName آپاچی را پیکربندی کنید، پورت‌های 80 و 443 را باز کنید و سپس sudo certbot --apache را اجرا کنید. Certbot گواهی را درخواست کرده و آپاچی را به‌روزرسانی می‌کند. تمدید هم با یک تایمر systemd اجرا می‌شود.

۲. چطور SSL را در آپاچی 2 روی اوبونتو فعال کنم؟

ماژول mod_ssl را با sudo a2enmod ssl فعال کنید، گواهی‌ها را دریافت کنید (Certbot مسیر معمول است) و HTTPS را روی پورت 443 در یک Virtual Host سرو کنید. Certbot هنگام استفاده از پلاگین آپاچی، فایل your_domain-le-ssl.conf را می‌سازد.

۳. چطور TLS 1.2 را در آپاچی 2 فعال کنم؟

در فایل /etc/apache2/mods-available/ssl.conf مقدار SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1 را تنظیم کنید. با این کار روی نسخه‌های فعلی اوبونتو فقط TLS 1.2 و 1.3 فعال باقی می‌مانند. پیش از sudo systemctl reload apache2، دستور sudo apachectl configtest را اجرا کنید.

۴. آیا Let’s Encrypt واقعاً رایگان است؟

بله. Let’s Encrypt برای گواهی‌ها هزینه‌ای دریافت نمی‌کند. ISRG این سرویس را به‌صورت غیرانتفاعی اداره می‌کند. برای اطلاعات بیشتر سوالات متداول Let’s Encrypt را ببینید. البته محدودیت‌های نرخ همچنان اعمال می‌شوند.

۵. گواهی Let’s Encrypt چقدر اعتبار دارد؟

به‌طور پیش‌فرض 90 روز. تایمر Certbot زمانی تمدید را امتحان می‌کند که کمتر از 30 روز تا انقضای گواهی باقی مانده باشد. با sudo certbot renew --dry-run مطمئن شوید سرور شما به‌درستی تمدید می‌کند.

جمع‌بندی

شما Certbot را از snap نصب کردید، با پلاگین آپاچی یک گواهی Let’s Encrypt دریافت کردید، HTTPS را در UFW باز کردید، تنظیمات TLS را تقویت کردید و تمدید خودکار را روی اوبونتو تأیید کردید. سایت شما اکنون HTTPS معتبری را برای your_domain سرو می‌کند.