Certificatul SSL gratuit (Let's Encrypt)

Cum obții certificatul SSL gratuit

1. Comanzi un plan de găzduire. Certificatul vine cu planul; nu există o comandă separată pentru el.
2. Îndrepți domeniul spre serverul nostru. Un domeniu înregistrat prin NBT Host are din start nameserverele noastre; pe unul de la alt registrar le schimbi tu (vezi Cum îți îndrepți domeniul spre NBT Host). Dacă site-ul e acum la alt host, îl mutăm noi, gratuit, în condițiile de pe pagina mutării, iar certificatul se emite după schimbarea DNS.
3. Enhance emite singur certificatul, de obicei în câteva minute, și îl reînnoiește automat. Verificarea e mai jos, la „Pași: verifici certificatul”.

Ce face un certificat SSL

• Criptează legătura dintre vizitator și site. Parolele, datele din formulare și din coș circulă criptat, nu în clar, prin rețeaua la care e conectat vizitatorul (de exemplu un Wi-Fi public).
• Dovedește că vizitatorul a ajuns la domeniul corect, nu la un server care se dă drept el.
• Scoate avertismentul din browser. Pe un site fără certificat, Chrome, Edge și Safari scriu „Nesigur” (Not secure) lângă adresă, iar pe paginile cu formulare avertismentul e și mai vizibil.
• Contează pentru Google: folosirea HTTPS e unul dintre semnalele luate în calcul la clasarea paginilor.

Gratuit sau plătit: ce diferă

Let's Encrypt e o autoritate de certificare nonprofit, care emite certificate gratuit și automat, ca să fie criptat cât mai mult din internet. Certificatul gratuit nu e o variantă „mai slabă”: criptarea e aceeași ca la unul plătit. Diferă doar ce verifică cel care îl emite:

Pentru un site de prezentare, un blog sau un magazin online, certificatul gratuit e suficient. Un certificat plătit are sens doar dacă un partener, o bancă sau un contract îți cere explicit OV sau EV. Dacă ai deja unul, îl instalezi tu, din Enhance (vezi „Dacă ceva nu merge”, mai jos).

Ce vei obține

• certificat valid pentru domeniu și pentru www (un singur certificat, pentru ambele nume), plus unul pentru mail.domeniul-tau.ro — dar numai pentru numele care arată spre serverul nostru;
• același lucru pentru subdomeniile și aliasurile pe care le adaugi: fiecare primește certificatul lui;
• reînnoire automată: certificatele Let's Encrypt sunt valabile 3 luni, iar Enhance cere singur unul nou cu 14 zile înainte de expirare. Nu ai nimic de făcut.

Înainte să începi

• Domeniul trebuie să arate spre serverul nostru: prin nameserverele ns1.nbt-host.ro și ns2.nbt-host.ro sau, dacă DNS-ul e în altă parte, prin înregistrările din Cum îți îndrepți domeniul spre NBT Host.
• Enhance cere certificatul imediat ce domeniul e adăugat. Până îl primește — de obicei câteva minute — pune unul provizoriu, „Self signed”, pe care browserele nu-l acceptă. Dacă domeniul abia a fost îndreptat spre noi, lasă câteva ore: Enhance reîncearcă singur, la intervale tot mai mari.
• Intră în Enhance: https://server.nbt-host.com. Numele de mai jos sunt în engleză, exact cum apar pe ecran; dacă panoul ți se deschide în română (după limba browserului), „Security” e „Securitate”, iar „SSL certificates” e „Certificate SSL”. Limba o schimbi din meniul contului, dreapta sus: „My account” » „Language”.

Pași: verifici certificatul

1. În Enhance, deschide „Websites” din meniul din stânga și apasă pe site.
2. În bara de sus a site-ului, apasă „Security” (pe un ecran mai îngust o găsești în meniul „Advanced”).
3. Cardul „SSL certificates” listează domeniile site-ului, cu coloanele „Status”, „Domain”, „Certificate”, „Force https” și „Expiry date”.
4. Uită-te întâi la „Certificate”: „Let's Encrypt” înseamnă certificat valid, iar „Self signed” e cel provizoriu. „Status” ține doar de data de expirare: „Active”, „Expiring soon” (expiră în mai puțin de 7 zile) sau „Expired” — și certificatul provizoriu apare „Active”.
5. Verifică și în browser: deschide https://domeniul-tau.ro, apasă pe lacăt și uită-te la certificat. Trebuie să fie valid și emis de Let's Encrypt.

Pași: ceri o emitere nouă

După ce ai reparat cauza (de exemplu ai corectat DNS-ul):

1. În „SSL certificates”, apasă „⋯” la capătul rândului domeniului.
2. Alege „Request Let's Encrypt certificate” și confirmă cu „Request”. Dacă domeniul are deja un certificat, cel nou îl înlocuiește.
3. Enhance afișează „Issuing a Let's Encrypt certificate for …”, apoi „Issued a Let's Encrypt certificate for …”. Dacă nu reușește, apare „Failed to issue a Let's Encrypt certificate for …” și motivul: notează-l, îți spune ce e de reparat (vezi „Dacă ceva nu merge”).
4. Pentru adresa de email (mail.domeniul-tau.ro), alegi din același meniu „Request Let's Encrypt certificate for mail.”

Nu repeta cererea de multe ori la rând: după fiecare eșec, Enhance așteaptă tot mai mult până la următoarea încercare, iar Let's Encrypt limitează numărul de cereri.

Dacă ceva nu merge

• Domeniul nu arată spre server. Motivul pomenește DNS-ul, o adresă IP străină sau o verificare eșuată. Verifică nameserverele sau înregistrarea A, așteaptă propagarea, apoi cere din nou certificatul.
• A rămas o înregistrare AAAA veche. Dacă DNS-ul e la Cloudflare sau la registrar și acolo a rămas o AAAA de la vechiul furnizor, Let's Encrypt încearcă pe IPv6 și nu ajunge la noi. Șterge AAAA-urile pentru domeniu și pentru www: zona de la noi nu folosește IPv6.
• www sau mail n-au certificat. Când DNS-ul e în altă parte, fiecare nume trebuie să existe acolo: CNAME www → domeniul tău și A mail → 185.230.138.193. Dacă www lipsea, Enhance a emis certificatul fără el. După ce adaugi înregistrările, cere din nou certificatul (pentru mail, cu opțiunea „for mail.”).
• Domeniul e la Cloudflare, pe „Proxied”. Trece înregistrările pe DNS only (norișorul gri): prin proxy, emiterea și reînnoirea certificatului pot eșua. Dacă vrei totuși proxy-ul Cloudflare, vorbește întâi cu noi; modul SSL/TLS din Cloudflare trebuie să fie Full (strict), nu Flexible — cu Flexible, site-ul intră într-o buclă de redirecționări.
• O înregistrare CAA nu permite Let's Encrypt. Dacă zona are înregistrări CAA, una trebuie să aibă valoarea 0 issue "letsencrypt.org". Adaug-o sau șterge CAA-urile de care nu ai nevoie (vezi Editorul de zonă DNS: A, CNAME, MX și TXT).
• Ai un certificat cumpărat. Îl pui din același card, cu „Install custom SSL”: alegi domeniul și completezi „Certificate (CRT)” și „Private key”, apoi „Upload”. Cu 3 zile înainte să expire, Enhance cere singur un certificat Let's Encrypt în locul lui.

Întrebări frecvente

Certificatul SSL rămâne gratuit și la reînnoire?

Da, cât timp domeniul e găzduit la noi: e inclus în plan, iar reînnoirea, la fiecare 3 luni, se face automat și nu costă nimic.

Cât durează până apare lacătul?

De obicei câteva minute de la adăugarea domeniului. Dacă domeniul abia a fost îndreptat spre noi, poate dura câteva ore, până se propagă DNS-ul; între timp Enhance reîncearcă singur.

Am nevoie de un certificat plătit pentru un magazin online?

Nu. Criptarea e aceeași ca la un certificat plătit. Un certificat OV sau EV are sens doar dacă ți-l cere explicit un partener, o bancă sau un contract.

Primesc certificat gratuit și pentru subdomenii și pentru email?

Da. Fiecare subdomeniu și alias pe care îl adaugi primește certificatul lui, iar mail.domeniul-tau.ro are și el unul, dacă arată spre serverul nostru.

Merge certificatul gratuit dacă domeniul e înregistrat la altă firmă?

Da. Contează doar ca domeniul să arate spre serverul nostru, prin nameservere sau prin înregistrări DNS, nu unde e înregistrat.