Instalar Let's Encrypt no Nginx Ubuntu: HTTPS grátis em 10 minutos

Certificados SSL/TLS deixaram de ser luxo há muito tempo — Chrome marca qualquer site em HTTP como “Não seguro” desde 2018, navegadores móveis nem deixam fazer POST sem TLS, e o Google penaliza HTTP no ranking de busca. Let’s Encrypt resolveu o problema de custo (certificados gratuitos) e de operação (renovação automática), mas a configuração correta no Nginx ainda derruba muita gente por causa de detalhes de DNS, ordem dos comandos e cipher suites desatualizadas.

Este tutorial mostra como instalar e configurar Let’s Encrypt no Nginx rodando em Ubuntu 24.04 LTS, do zero até um grade A+ no SSL Labs. Cobrimos a parte que costuma ser pulada: validação prévia do DNS, redirect HTTP→HTTPS sem loop, renovação testada com --dry-run, e hook de reload pro Nginx pegar o cert novo sem intervenção manual.

Tempo estimado: 10 a 15 minutos se o DNS já está propagado. Se você acabou de criar o registro A, espere a propagação completar antes de começar — caso contrário o desafio HTTP-01 falha e você gasta quota de rate limit sem necessidade.

Pré-requisitos

Antes de continuar, valide que seu domínio resolve pro IP correto. Rode dig +short seudominio.com.br na sua máquina local — o resultado precisa ser o IP público do servidor. Se vier vazio ou um IP diferente, o problema está no DNS e nenhum passo deste tutorial vai funcionar até consertar lá.

Instalando o Certbot

O Certbot é o cliente oficial da Let’s Encrypt e o jeito recomendado de emitir e renovar certificados. Ubuntu 24.04 traz uma versão no apt, mas a Electronic Frontier Foundation recomenda instalar via snap pra garantir atualizações automáticas — o cliente evolui rápido e versões antigas podem quebrar com mudanças no protocolo ACME.

sudo apt update
sudo apt install -y snapd

sudo apt remove -y certbot python3-certbot-nginx

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/bin/certbot

certbot --version

Configurando o Nginx pro desafio HTTP-01

Let’s Encrypt valida posse do domínio via um arquivo que precisa ser servido em http://seudominio.com.br/.well-known/acme-challenge/. O plugin --nginx do Certbot edita seu vhost automaticamente, mas pra isso precisa de um server block válido escutando na porta 80 com o server_name correto.

server {
    listen 80;
    listen [::]:80;
    server_name seudominio.com.br www.seudominio.com.br;

    root /var/www/seudominio.com.br;
    index index.html;

    location / {
        try_files $uri $uri/ =404;
    }
}

sudo ln -s /etc/nginx/sites-available/seudominio.com.br /etc/nginx/sites-enabled/
sudo nginx -t
sudo systemctl reload nginx

Emitindo o certificado

Com Nginx servindo o domínio na porta 80, o Certbot consegue completar o desafio. O comando abaixo emite o certificado, instala as diretivas SSL no vhost e configura redirect HTTP→HTTPS automaticamente.

sudo certbot --nginx -d seudominio.com.br -d www.seudominio.com.br

Configurando renovação automática

Certificados Let’s Encrypt expiram em 90 dias. O snap do Certbot já cria um timer systemd que tenta renovar duas vezes por dia — mas é prudente validar que está funcionando e adicionar o hook de reload do Nginx.

sudo systemctl list-timers | grep certbot

sudo systemctl enable --now snap.certbot.renew.timer

sudo mkdir -p /etc/letsencrypt/renewal-hooks/deploy
echo '#!/bin/bash
systemctl reload nginx' | sudo tee /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh
sudo chmod +x /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh

sudo certbot renew --dry-run

Verificação final

Com tudo configurado, valide o nível de segurança do seu HTTPS no SSL Labs. Acesse https://www.ssllabs.com/ssltest/analyze.html?d=seudominio.com.br e aguarde 1-2 minutos pra análise completar. O grade esperado é A. Pra chegar em A+, edite seu vhost e adicione na seção server (já existente, criada pelo Certbot) os headers de segurança:

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;

Recarregue o Nginx com sudo systemctl reload nginx e refaça o teste no SSL Labs.

Resolução de problemas

Erro “Connection refused” no desafio HTTP-01

Significa que o Certbot não conseguiu acessar a porta 80 do seu servidor. Confirme com sudo ufw status se o firewall está liberando a porta, e cheque se algum outro serviço (Apache, outro Nginx) está conflitando. Mate o conflito com sudo ss -tlnp | grep :80.

Erro “DNS problem: NXDOMAIN looking up A”

DNS ainda não propagou ou o registro A não existe. Confirme localmente com dig +short seudominio.com.br @8.8.8.8 (usa o DNS público da Google). Se vier vazio, vá no painel do seu registrador e crie o registro A apontando pro IP do servidor.

Cert renovou mas navegador ainda mostra o antigo

Confirme que o hook de reload está executável e funcionando. Force renovação ignorando o cooldown com sudo certbot renew --force-renewal e veja o output. Se o hook não rodar, o problema está em /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh — confira permissões com ls -la.

Próximos passos

Com HTTPS rodando, considere os próximos hardenings: configurar OCSP Stapling pra reduzir latência da verificação de revogação, adicionar Content Security Policy pra mitigar XSS, e ativar HTTP/2 ou HTTP/3 no Nginx (já vem habilitado por padrão na linha 1.25+). Pra produção séria, monitore a expiração do certificado com Uptime Robot ou similar — alerta independente do cron de renovação.

Se você está colocando uma aplicação crítica em produção, uma VPS Hostini entrega snapshots automáticos, IPv6 nativo e firewall de rede já configurado pra reduzir o caminho entre apt install nginx e o site no ar com grade A+.