Cómo instalar Let's Encrypt en Apache Ubuntu: guía HTTPS gratis

HTTPS dejó de ser opcional. Los navegadores marcan los sitios HTTP como “No seguro”, las APIs externas rechazan webhooks sin TLS, y el SEO penaliza dominios sin certificado. Let’s Encrypt resuelve esto gratis — certificados X.509 válidos, reconocidos por todos los navegadores modernos, emitidos por una autoridad certificadora pública.

Este tutorial cubre la instalación de Let’s Encrypt en un servidor Apache ejecutando Ubuntu 22.04 o 24.04, usando el cliente oficial Certbot. El foco está en la configuración de producción: emisión, redirección 301 de HTTP a HTTPS, renovación automática y validación real del certificado. Tiempo estimado de ejecución: 15 a 20 minutos, asumiendo que el DNS ya apunta al servidor.

La persona objetivo es un sysadmin o desarrollador que ya tiene un Apache configurado sirviendo un sitio funcional en HTTP y necesita añadir TLS. Si todavía estás aprovisionando el servidor desde cero, instala Apache primero (sudo apt install apache2) y vuelve aquí después de que curl http://tu-dominio devuelva HTML.

Prerrequisitos

Antes de empezar, confirma que el servidor cumple con los prerrequisitos correctos. La validación HTTP-01 de Let’s Encrypt necesita alcanzar el servidor por el puerto 80, por lo que cualquier bloqueo de firewall o DNS desalineado hará que la emisión falle ya en el primer certbot run.

Verifica el DNS antes de continuar. Ejecuta dig +short tu-dominio.com y confirma que la IP devuelta es la del servidor. Si no lo es, la propagación todavía puede estar en curso (TTL típico de 1 a 24 horas) — espera antes de intentar emitir.

Instalando Certbot y el plugin de Apache

Certbot está disponible como paquete APT en Ubuntu, pero la versión de los repositorios oficiales suele estar desactualizada. Para producción, el método recomendado por el propio proyecto es snap, que mantiene el cliente actualizado automáticamente. Esta sección cubre la instalación vía snap, que es la más robusta.

sudo apt update
sudo apt remove certbot python3-certbot-apache -y

sudo snap install core
sudo snap refresh core

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/bin/certbot

certbot --version

Verificando la configuración de Apache

El plugin --apache de Certbot lee los archivos de VirtualHost en /etc/apache2/sites-enabled/ para descubrir cuáles dominios están servidos y cuál vhost editar. Para que el plugin funcione, cada vhost necesita tener la directiva ServerName (y opcionalmente ServerAlias) configurada correctamente.

sudo apachectl -S

<VirtualHost *:80>
    ServerName ejemplo.com
    ServerAlias www.ejemplo.com
    DocumentRoot /var/www/ejemplo
</VirtualHost>

sudo systemctl reload apache2

sudo ufw allow 'Apache Full'
sudo ufw status

Emitiendo el certificado

Con Certbot instalado y Apache configurado, la emisión es un único comando. El plugin --apache detecta los dominios, dialoga con Let’s Encrypt vía HTTP-01, recibe el certificado, edita los VirtualHosts para incluir las directivas SSL y (opcionalmente) configura el redirect 301.

sudo certbot --apache

Successfully received certificate.
Certificate is saved at: /etc/letsencrypt/live/ejemplo.com/fullchain.pem
Key is saved at:         /etc/letsencrypt/live/ejemplo.com/privkey.pem
This certificate expires on 2026-08-27.

Configurando la renovación automática

La instalación vía snap ya viene con la renovación automática configurada vía systemd timer. No necesitas editar crontab ni crear scripts — snap mantiene el timer ejecutando dos veces al día, y Certbot solo hace la llamada real a la API cuando el certificado está a menos de 30 días del vencimiento.

sudo systemctl status snap.certbot.renew.timer

sudo certbot renew --dry-run

#!/bin/bash
cp /etc/letsencrypt/live/ejemplo.com/fullchain.pem /etc/haproxy/cert.pem
systemctl reload haproxy

Verificando el certificado en producción

Después de la emisión, valida el certificado desde fuera — no basta con que Certbot diga que salió bien, necesitas confirmar que el navegador ve el sitio como seguro y que la cadena de certificación está completa.

Ejecuta en la terminal local (no en el servidor):

curl -I https://ejemplo.com

La respuesta debe empezar con HTTP/2 200 o HTTP/1.1 200 OK. Si aparece un error de certificado, algo está mal con la cadena.

Para inspeccionar el certificado en detalle:

echo | openssl s_client -connect ejemplo.com:443 -servername ejemplo.com 2>/dev/null | openssl x509 -noout -dates -issuer -subject

La salida muestra el issuer (Let's Encrypt), el subject (tu dominio) y las fechas de validez. Confirma que la fecha notAfter está ~90 días por delante.

Para una prueba completa de la configuración SSL/TLS, usa SSL Labs en https://www.ssllabs.com/ssltest/analyze.html?d=ejemplo.com. Una configuración estándar de Certbot 2.x generalmente saca nota A.

Resolución de problemas comunes

Error “Failed authorization procedure”

Significa que Let’s Encrypt no pudo acceder a http://tu-dominio/.well-known/acme-challenge/.... Causas comunes: puerto 80 bloqueado en el firewall, DNS apuntando a una IP equivocada, o Apache no escuchando en 0.0.0.0:80. Verifica en este orden:

sudo ufw status
sudo ss -tlnp | grep :80
dig +short tu-dominio.com

Error “Could not find a usable ‘apache2ctl’ binary”

Certbot busca apache2ctl en el PATH. En algunos sistemas personalizados, el binario está en /usr/sbin/ pero el PATH de snap no lo incluye. Crea el symlink:

sudo ln -s /usr/sbin/apache2ctl /usr/local/bin/apache2ctl

Redirect loop después de la instalación

Generalmente es Apache detrás de un proxy reverso (CloudFront, Cloudflare) que termina TLS antes del servidor. Apache recibe HTTP, redirige a HTTPS, el proxy envía HTTP de nuevo, loop. Solución: configura HTTPS=on vía header confiable en el vhost o deshabilita el redirect de Apache (deja que el proxy se encargue).

Próximos pasos

Con HTTPS funcionando, vale la pena endurecer la configuración TLS:

• Ajusta SSLProtocol para deshabilitar TLS 1.0 y 1.1 en el vhost SSL (SSLProtocol -all +TLSv1.2 +TLSv1.3)
• Añade el header HSTS después de validar que todo está funcionando bien: Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
• Configura OCSP stapling con SSLUseStapling on para reducir la latencia de la validación
• Considera migrar a HTTP/2 (Protocols h2 http/1.1) — exige mod_http2 habilitado

Si estás llevando esto a producción y quieres infraestructura sin tener que preocuparte por firewall, kernel updates o tuning de Apache, una VPS Hostini viene con Ubuntu LTS, snap instalado y puertos 80/443 ya liberados — solo hace falta apuntar el DNS y ejecutar certbot --apache.