Certbot e Let's Encrypt: renovar HTTPS automaticamente sem quebrar seu site
Publicado em 2026-10-26 por frfrand
Certificados gratuitos, renovação automática e diagnóstico TLS no Nginx
Seu site mostra o cadeado verde hoje, mas o que acontece daqui a dois meses? Os certificados públicos expiram e precisam ser renovados. O Let's Encrypt permite obter certificados gratuitos e o Certbot pode automatizar boa parte do processo.
Vamos transformar isso em um procedimento que você pode usar em um VPS real. O objetivo é entender por que funciona, como testar e qual problema surge se alguma parte estiver mal configurada.
O que significa Certbot e Let's Encrypt e quando você precisa
O Let's Encrypt é uma autoridade certificadora e o Certbot é um cliente ACME que solicita e renova certificados. Para emití-los, é necessário comprovar o controle do domínio por meio de um desafio compatível (por exemplo, HTTP-01 ou DNS-01). A automação depende de que o DNS e os serviços estejam configurados corretamente.
Antes de mudar qualquer coisa em produção, anote o estado atual: IP, domínio, porta, serviço afetado e hora do último deploy. Uma modificação isolada é fácil de verificar; cinco mudanças simultâneas tornam mais difícil reconstruir o que aconteceu.
Configuração ou comandos de exemplo
sudo nginx -t
sudo certbot certificates
sudo certbot renew --dry-run
systemctl list-timers | grep -i certbot
# Verificar certificado público desde otra máquina
openssl s_client -connect ejemplo.com:443 -servername ejemplo.com </dev/nullOs domínios, IPs, caminhos e nomes são ilustrativos. Não copie uma configuração inteira sobre a atual sem comparar primeiro. Nos exemplos que incluem portas ou firewall, certifique-se de manter o acesso administrativo.
Como eu faria passo a passo
- Preparação. Verifique se o DNS aponta para o servidor correto e se o domínio é acessível pelo desafio escolhido.
- Passo 2. Instale o Certbot pelo método recomendado para sua distribuição.
- Passo 3. Solicite o certificado com o plugin compatível e verifique o nome do host.
- Passo 4. Teste a renovação com
--dry-runsem esperar expirar. - Verificação. Configure monitoramento de expiração e verifique a recarga do serviço após renovar.
Quando terminar, comprove a operação real a partir de outra conexão. Por exemplo, para uma API não basta abrir o navegador: execute uma requisição de leitura, uma gravação em um banco de teste e consulte os logs do processo.
Exemplo de um projeto de verdade
Uma API de reservas usa HTTPS em api.cliente.com. O certificado expira em um domingo e começam a falhar as requisições de pagamento a partir do navegador. Um teste periódico de renovação teria detectado antes o problema de configuração.
A lição é simples: uma configuração de infraestrutura não vive isolada da aplicação. O frontend, o servidor, o banco de dados e os workers se conectam, então medir onde começa a falha é mais útil do que reiniciar tudo.
O erro a evitar
Não desative a validação TLS para «resolver» o erro. Revise o nome, a cadeia, o horário do sistema e o certificado servido pelo Nginx. O Certbot não pode corrigir uma zona DNS mal delegada.
Quando trabalha com servidores de clientes, guarde um backup ou procedimento de reversão antes de mudanças que afetem dados, rede ou certificados. E se não souber quais permissões uma operação precisa, evite executá-la como root apenas para parar de mostrar erros.
Como isso se relaciona com o ArduMaker?
O ArduMaker inclui administração de domínios e SSL no ambiente VPS. Mesmo assim, verifique a renovação real e os alertas: um certificado configurado não equivale a um certificado sempre válido.
Em um caso típico, você pode criar um VPS para o aplicativo, implantar a partir do Git, associar um domínio HTTPS e administrar o backend e os bancos de dados necessários. As ferramentas ajudam a centralizar operações, mas é preciso entender qual porta e processo cumpre cada função.
Perguntas que aparecem quando você testa
Como saber se a falha é de DNS ou do serviço? Consulte primeiro a resolução, depois a conexão na porta e, finalmente, a resposta do aplicativo. Essa ordem evita confundir problemas diferentes.
Posso expor um banco de dados para facilitar a manutenção? É melhor projetar acesso privado ou túneis autenticados quando possível. Expor uma porta não substitui as permissões do mecanismo nem o firewall.
O que devo documentar? A configuração esperada, como verificar e como voltar ao estado anterior. Esse documento ajuda mais do que uma lista de comandos sem contexto.
Referências
Em resumo: uma boa configuração de rede ou servidor é aquela que você consegue explicar, verificar e recuperar quando algo falha.