Instalar Let's Encrypt en Nginx Ubuntu: HTTPS gratis en 10 minutos

Los certificados SSL/TLS dejaron de ser un lujo hace mucho tiempo — Chrome marca cualquier sitio HTTP como “No seguro” desde 2018, los navegadores móviles ni siquiera permiten hacer POST sin TLS, y Google penaliza HTTP en el ranking de búsqueda. Let’s Encrypt resolvió el problema del costo (certificados gratuitos) y de la operación (renovación automática), pero la configuración correcta en Nginx todavía deja fuera a mucha gente por detalles de DNS, orden de los comandos y cipher suites desactualizadas.

Este tutorial muestra cómo instalar y configurar Let’s Encrypt en Nginx ejecutándose en Ubuntu 24.04 LTS, desde cero hasta un grado A+ en SSL Labs. Cubrimos la parte que suele omitirse: validación previa del DNS, redirect HTTP→HTTPS sin loop, renovación probada con --dry-run, y hook de reload para que Nginx tome el cert nuevo sin intervención manual.

Tiempo estimado: 10 a 15 minutos si el DNS ya está propagado. Si acabas de crear el registro A, espera a que la propagación se complete antes de empezar — en caso contrario el desafío HTTP-01 falla y gastas cuota de rate limit innecesariamente.

Prerrequisitos

Antes de continuar, valida que tu dominio resuelva a la IP correcta. Ejecuta dig +short tudominio.com en tu máquina local — el resultado debe ser la IP pública del servidor. Si viene vacío o una IP distinta, el problema está en el DNS y ningún paso de este tutorial va a funcionar hasta que se arregle ahí.

Instalando Certbot

Certbot es el cliente oficial de Let’s Encrypt y la forma recomendada de emitir y renovar certificados. Ubuntu 24.04 trae una versión en apt, pero la Electronic Frontier Foundation recomienda instalar vía snap para garantizar actualizaciones automáticas — el cliente evoluciona rápido y versiones antiguas pueden romperse con cambios en el protocolo ACME.

sudo apt update
sudo apt install -y snapd

sudo apt remove -y certbot python3-certbot-nginx

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/bin/certbot

certbot --version

Configurando Nginx para el desafío HTTP-01

Let’s Encrypt valida la posesión del dominio mediante un archivo que debe servirse en http://tudominio.com/.well-known/acme-challenge/. El plugin --nginx de Certbot edita tu vhost automáticamente, pero para eso necesita un server block válido escuchando en el puerto 80 con el server_name correcto.

server {
    listen 80;
    listen [::]:80;
    server_name tudominio.com www.tudominio.com;

    root /var/www/tudominio.com;
    index index.html;

    location / {
        try_files $uri $uri/ =404;
    }
}

sudo ln -s /etc/nginx/sites-available/tudominio.com /etc/nginx/sites-enabled/
sudo nginx -t
sudo systemctl reload nginx

Emitiendo el certificado

Con Nginx sirviendo el dominio en el puerto 80, Certbot puede completar el desafío. El comando siguiente emite el certificado, instala las directivas SSL en el vhost y configura el redirect HTTP→HTTPS automáticamente.

sudo certbot --nginx -d tudominio.com -d www.tudominio.com

Configurando la renovación automática

Los certificados Let’s Encrypt expiran en 90 días. El snap de Certbot ya crea un timer systemd que intenta renovar dos veces al día — pero es prudente validar que está funcionando y añadir el hook de reload de Nginx.

sudo systemctl list-timers | grep certbot

sudo systemctl enable --now snap.certbot.renew.timer

sudo mkdir -p /etc/letsencrypt/renewal-hooks/deploy
echo '#!/bin/bash
systemctl reload nginx' | sudo tee /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh
sudo chmod +x /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh

sudo certbot renew --dry-run

Verificación final

Con todo configurado, valida el nivel de seguridad de tu HTTPS en SSL Labs. Accede a https://www.ssllabs.com/ssltest/analyze.html?d=tudominio.com y espera 1-2 minutos a que el análisis termine. El grado esperado es A. Para llegar a A+, edita tu vhost y añade en la sección server (ya existente, creada por Certbot) los headers de seguridad:

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;

Recarga Nginx con sudo systemctl reload nginx y vuelve a hacer el test en SSL Labs.

Resolución de problemas

Error “Connection refused” en el desafío HTTP-01

Significa que Certbot no pudo acceder al puerto 80 de tu servidor. Confirma con sudo ufw status si el firewall está liberando el puerto, y comprueba si algún otro servicio (Apache, otro Nginx) está en conflicto. Mata el conflicto con sudo ss -tlnp | grep :80.

Error “DNS problem: NXDOMAIN looking up A”

El DNS todavía no propagó o el registro A no existe. Confirma localmente con dig +short tudominio.com @8.8.8.8 (usa el DNS público de Google). Si viene vacío, ve al panel de tu registrador y crea el registro A apuntando a la IP del servidor.

El cert se renovó pero el navegador todavía muestra el antiguo

Confirma que el hook de reload es ejecutable y está funcionando. Fuerza la renovación ignorando el cooldown con sudo certbot renew --force-renewal y observa el output. Si el hook no se ejecuta, el problema está en /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh — verifica los permisos con ls -la.

Próximos pasos

Con HTTPS en ejecución, considera los siguientes hardenings: configurar OCSP Stapling para reducir la latencia de la verificación de revocación, añadir Content Security Policy para mitigar XSS, y activar HTTP/2 o HTTP/3 en Nginx (ya viene habilitado por defecto en la rama 1.25+). Para producción seria, monitorea la expiración del certificado con Uptime Robot o similar — alerta independiente del cron de renovación.

Si estás poniendo una aplicación crítica en producción, una VPS Hostini entrega snapshots automáticos, IPv6 nativo y firewall de red ya configurado para reducir el camino entre apt install nginx y el sitio en el aire con grado A+.