Установка SSL-сертификата Let's Encrypt на серверах с первоначальной настройкой

Бесплатный SSL-сертификат Let's Encrypt устанавливается автоматически при первоначальной настройке сервера, если домен существует и направлен на IP-адрес VPS.

Если сертификат не установился, его можно выпустить вручную с помощью certbot.

Проверка направления домена

Убедитесь, что домены, которые требуется защитить, указывают на IP-адрес вашего сервера. Проверить это можно с помощью сторонних инструментов DNS.

Установка пакета certbot

Установите пакет для работы certbot с Nginx:

CentOS:
```
yum install python-certbot-nginx
```
Debian:
```
apt install python-certbot-nginx
```
Ubuntu:
```
apt install python3-certbot-nginx
```

Выпуск сертификата

Подключитесь к серверу по SSH и выполните:

certbot --nginx -d example.com -d www.example.com

В Debian/Ubuntu будет предложено настроить редирект с HTTP на HTTPS:

1 — без изменений;
2 — включить редирект.

После этого certbot автоматически:

установит сертификат,
создаст ключ и цепочку сертификатов в формате .pem,
обновит конфигурацию Nginx,
при необходимости включит редирект.

Автоматическое обновление

Debian/Ubuntu: таймер systemd проверяет сертификаты каждые 12 часов.
```
systemctl list-timers
```
Задание также прописано в /etc/cron.d/certbot, но приоритет у systemd.
CentOS: проверка выполняется через cron, задание добавляется в /etc/crontab.