Come mettere il lucchetto HTTPS gratis sul tuo sito Lightsail con Let's Encrypt

Il lucchetto che compare accanto all'indirizzo di un sito significa che la connessione è cifrata e che il sito è chi dice di essere. Senza, i browser avvisano di "sito non sicuro", Google posiziona peggio e i moduli viaggiano in chiaro. Anni fa un certificato costava soldi e scartoffie; oggi Let's Encrypt li dà gratis e si rinnovano da soli.

Su una macchina Lightsail ci sono due situazioni. Se l'hai creata da un modello di applicazione (WordPress, Joomla, LAMP...), è un'immagine di Bitnami e ha uno strumento che fa tutto con qualche domanda. Se è un Linux "nudo" (Ubuntu, Debian, Amazon Linux) dove hai installato tu il server web, userai Certbot, anch'esso semplice. La guida copre entrambe.

Passo dopo passo

1. Verifica il dominio e il firewall

   Due requisiti senza i quali nulla funzionerà. Primo, il dominio deve già puntare all'IP della macchina (e conviene che sia un IP statico): scrivi il dominio nel browser e deve caricare il tuo sito, anche senza lucchetto. Secondo, in Lightsail, scheda Rete della macchina, il firewall deve avere aperte HTTP (80) e HTTPS (443). La 443 non è aperta di default: aggiungila se manca.

2. Apri il terminale della macchina

   Nella console di Lightsail, clicca il pulsante Connetti tramite SSH della macchina (l'icona arancione del terminale). Si apre una finestra nera nel browser dove scriverai i comandi dei passi successivi. Non serve installare nessun programma sul tuo computer.

3. Se la tua macchina è Bitnami: usa il suo strumento

   Scrivi:

   sudo /opt/bitnami/bncert-tool

   Ti chiederà i domini (scrivi midominio.com www.midominio.com), se vuoi reindirizzare HTTP verso HTTPS (di' di sì) e se vuoi che www reindirizzi al dominio senza www o viceversa (scegline uno). Alla fine chiede un'email per gli avvisi di Let's Encrypt e che tu accetti le sue condizioni. Riavvia i servizi al posto tuo. Quando finisce, il certificato è installato e il rinnovo programmato. Passa al passo 5.

4. Se la tua macchina è un Linux normale: usa Certbot

   Su Ubuntu o Debian con Apache:

   sudo apt update
   sudo apt install -y certbot python3-certbot-apache
   sudo certbot --apache -d midominio.com -d www.midominio.com

   Con Nginx, cambia python3-certbot-apache in python3-certbot-nginx e --apache in --nginx. Certbot ti chiede un'email, di accettare le condizioni e se vuoi reindirizzare tutto il traffico verso HTTPS (di' di sì). Modifica lui stesso la configurazione del server web e la ricarica. Su Amazon Linux i nomi dei pacchetti cambiano; la documentazione di Certbot ha le istruzioni esatte per ogni sistema.

5. Verifica il lucchetto

   Apri https://midominio.com nel browser: deve comparire il lucchetto e, cliccandolo, un certificato emesso da Let's Encrypt (compare come "R3", "R10" o un altro nome corto). Prova anche la versione senza https: deve reindirizzare da sola a quella sicura. Se usi WordPress, controlla in Impostazioni, Generali che i due indirizzi inizino con https.

6. Conferma che si rinnoverà da solo

   I certificati di Let's Encrypt scadono dopo 90 giorni, ma sia bncert-tool sia Certbot lasciano programmato il rinnovo automatico. Per stare tranquillo, nel terminale:

   sudo certbot renew --dry-run

   (Su Bitnami, l'equivalente è verificare che esista l'attività in sudo crontab -l.) Se la prova finisce senza errori, non dovrai più toccare questa cosa. Let's Encrypt ti manderà un'email se un giorno il rinnovo dovesse fallire.

Cosa può andare storto