Jak skonfigurować protokół SSL/HTTPS dla serwera ownCloud z Let's Encrypt

W przypadku bezpośrednio hostowanej instancji serwera ownCloud działającej za wirtualnym hostem Apache, standardową ścieżką jest wskazanie domeny publicznej na serwer, udostępnienie witryny HTTP i uruchomienie instalatora Apache'a Certbota dla tej nazwy hosta. Na przykład, jeśli Twój adres ownCloud to cloud.example.com, Certbot może zażądać certyfikatu Let's Encrypt i skonfigurować Apache'a do obsługi protokołu HTTPS z sudo certbot --apache -d cloud.example.com. Przetestuj witrynę i automatyczne odnawianie, zanim zaczniesz na niej polegać.

Ta procedura dotyczy instalacji ownCloud Classic 10.16 w stylu Apache'a obsługiwanego przez serwer Apache w systemie Ubuntu, zgodnie z założeniami zawartymi w przewodniku ownCloud dotyczącym Apache'a. Jeśli uruchamiasz ownCloud Classic 11 w Dockerze, ownCloud informuje, że protokół HTTPS musi być skonfigurowany na serwerze proxy webowym przed kontenerem. Jeśli dostawca hostingu lub odwrotny serwer proxy już kończy działanie protokołu TLS, skonfiguruj certyfikat w tym miejscu, zamiast próbować instalować go w kontenerze ownCloud.

Sprawdź, czy ta konfiguracja pasuje do Twojego serwera

Let's Encrypt udowadnia, że ​​kontrolujesz żądaną nazwę domeny przed wydaniem certyfikatu. W przypadku typowego problemu HTTP-01, Let's Encrypt musi być w stanie pobrać plik tymczasowy z Twojego serwera przez publiczny protokół HTTP na porcie 80. Ta sama nazwa hosta musi być rozwiązana na publiczny punkt końcowy obsługujący Twoją witrynę ownCloud. Następnie ruch HTTPS dociera do punktu końcowego Apache na porcie 443.

• Masz publiczną nazwę hosta, taką jak cloud.example.com, i kontrolujesz jej rekordy DNS.
• Nazwa hosta odpowiada publicznemu adresowi IP serwera Apache lub publicznemu odwrotnemu serwerowi proxy.
• Porty przychodzące 80 i 443 są dozwolone przez odpowiednią zaporę sieciową, router i grupę zabezpieczeń w chmurze.
• Apache już obsługuje witrynę ownCloud za pośrednictwem VirtualHost dla tej nazwy hosta.
• Masz uprawnienia administratora do komputera, który obsługuje publiczny ruch HTTP i HTTPS.

Jeśli Twoja witryna znajduje się za serwerem proxy, modułem równoważenia obciążenia, hostem kontenera lub panelem sterowania, przed uruchomieniem Certbota zidentyfikuj, gdzie kończy się publiczny protokół TLS. Certyfikat zainstalowany na niewłaściwym komputerze nie zabezpieczy połączenia między przeglądarką a serwerem. W przypadku ownCloud Classic 11, obsługiwany projekt Dockera zarządza serwerem Apache w kontenerze i umieszcza protokół HTTPS na serwerze proxy.

Przygotuj nazwę hosta ownCloud i witrynę Apache

W miarę możliwości używaj dedykowanej nazwy hosta ownCloud. ownCloud wymaga, aby każdy adres URL przeglądarki używany do logowania był wymieniony trusted_domainsw config/config.phppliku. Jeśli zmieniasz adres IP lub inną nazwę hosta na cloud.example.com, dodaj nowego hosta do nieużywanego wpisu w tablicy zaufanych domen przed przetestowaniem nowego adresu. Nie nadpisuj przypadkowo innego wpisu.

Przed żądaniem certyfikatu upewnij się, że zwykły protokół HTTP dociera do docelowej witryny ownCloud. W Apache, VirtualHost powinien zidentyfikować dokładną nazwę hosta za pomocą ServerNamedyrektywy. Instrukcje Apache dla ownCloud zakładają konfigurację VirtualHost, a w Ubuntu definicje witryn umieszczane są w /etc/apache2/sites-available/. Ścieżki i nazwy usług mogą się różnić w innych dystrybucjach.

Przed zmianą konfiguracji Apache VirtualHost utwórz kopię zapasową aktywnej konfiguracji. Zapewni to punkt odzyskiwania, jeśli automatyczny instalator wybierze niewłaściwą witrynę lub utworzy konfliktowy host HTTPS. Jeśli masz wiele witryn na tym samym serwerze, sprawdź istniejące hosty wirtualne, aby certyfikat był przypisany do nazwy hosta ownCloud, a nie do domyślnej witryny.

Zainstaluj i uruchom Certbot dla Apache

Zainstaluj Certbota zgodnie z instrukcjami dla konkretnego systemu operacyjnego i konfiguracji Apache. Oficjalne instrukcje Certbota zalecają pakiet Snap dla wielu instalacji Linuksa, ale dostępność pakietu i obsługiwane ścieżki instalacji zależą od dystrybucji. Unikaj jednoczesnego instalowania wielu instalacji Certbota z menedżera pakietów systemu operacyjnego i Snap; wywoływane polecenie certbotpowinno być tym, którego wtyczki Apache zamierzasz użyć.

Na hoście Ubuntu, na którym zainstalowano i obsługujesz aplikację Snap, instrukcje Certbota pokazują następującą ścieżkę instalacji:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Jeśli Certbot jest już zainstalowany, sprawdź, jaka wersja powłoki działa na Twoim komputerze i jak została zainstalowana, zanim dodasz kolejną kopię. Zapoznaj się z aktualną instrukcją instalacji Certbota Apache , aby poznać inne obsługiwane opcje instalacji.

Poproś o certyfikat i zainstaluj go dla swojej nazwy hosta ownCloud:

sudo certbot --apache -d cloud.example.com

Zastąp cloud.example.comprawdziwą nazwą hosta. Certbot przeprowadzi walidację domeny i, za pomocą instalatora Apache, zaktualizuje Apache, aby używał wydanego certyfikatu. Jeśli chcesz, aby jeden certyfikat obejmował więcej nazw, określ każdą nazwę jawnie, na przykład -d cloud.example.com -d files.example.com. Każda wymieniona nazwa musi wskazywać na osiągalny punkt końcowy i przejść walidację.

Certbot może zapytać, czy żądania HTTP powinny być przekierowywane do HTTPS. Włączenie przekierowania jest właściwe, gdy działa już wirtualny host HTTPS. ownCloud zaleca HTTPS do zastosowań produkcyjnych i stałe przekierowanie dla ruchu niezaszyfrowanego. Jeśli wolisz samodzielnie zarządzać konfiguracją Apache, Certbot oferuje również tryb wyłącznie certyfikatu. Skorzystaj z przewodnika ownCloud po Apache, aby poprawnie połączyć pliki certyfikatu z wirtualnym hostem, a następnie przetestuj konfigurację przed ponownym załadowaniem Apache.

Gdy walidacja HTTP nie może dotrzeć do Twojego serwera

Metoda HTTP-01 wykorzystuje ścieżkę /.well-known/acme-challenge/na porcie 80. Jeśli router przekierowuje port 80 do innej maszyny, zapora sieciowa blokuje go lub inny serwer proxy kieruje tę ścieżkę gdzie indziej, walidacja może się nie powieść, nawet jeśli strona ownCloud ładuje się przez HTTPS. Sprawdź publiczny DNS i przekierowanie portów, a następnie upewnij się, że wyzwanie ACME dociera do tego samego punktu końcowego, na którym działa Certbot.

Jeśli Twój dostawca usług internetowych lub polityka sieciowa blokuje port 80, rozważ zamiast tego walidację DNS-01. Potwierdza ona kontrolę nad domeną za pomocą rekordu DNS TXT i może wystawiać certyfikaty wieloznaczne, ale automatyzacja odnawiania zależy od tego, czy Twój dostawca DNS posiada odpowiednią wtyczkę API. Unikaj umieszczania szerokich poświadczeń DNS na serwerze WWW, gdy dostępne są poświadczenia o wąskim zakresie lub oddzielny host walidacyjny. Nie używaj procedury HTTP-01 dla certyfikatu wieloznacznego.

Zweryfikuj Apache i ownCloud po instalacji

Przed zamknięciem okna konserwacji sprawdź, czy konfiguracja Apache jest prawidłowa i czy Certbot wyświetla nowy certyfikat:

sudo apache2ctl configtest
sudo certbot certificates

W systemie Ubuntu pomyślne sprawdzenie składni Apache’a wskazuje, że konfiguracja jest prawidłowa. Otwórz https://cloud.example.comprzeglądarkę i zaloguj się. Sprawdź, czy przeglądarka wyświetla prawidłowy certyfikat dla konkretnej nazwy hosta i przetestuj reprezentatywnego klienta przesyłania, pobierania i synchronizacji plików. Jeśli włączono przekierowanie, odwiedź adres HTTP i upewnij się, że kieruje on do tej samej nazwy hosta HTTPS bez pętli przekierowań.

Jeśli strona logowania ownCloud zgłasza niezaufaną domenę, sprawdź trusted_domainskonfigurację serwera. Jeśli przeglądarka przekierowuje do niewłaściwej nazwy hosta lub ownCloud generuje linki HTTP za odwrotnym serwerem proxy, sprawdź przekierowany host i nagłówki HTTPS serwera proxy oraz ustawienia serwera proxy ownCloud. Ustawienia te zależą od topologii serwera proxy; nie kopiuj nadpisów odwrotnego serwera proxy do bezpośredniej instalacji Apache bez powodu.

Sprawdź odnowienie przed uznaniem pracy za wykonaną

Standardowe certyfikaty Let's Encrypt mają krótki okres ważności, dlatego odnawianie musi być zautomatyzowane. Instalacje Certbota zazwyczaj oferują timer systemd lub zadanie cron. Przetestuj odnawianie z wyprzedzeniem za pomocą:

sudo certbot renew --dry-run

Próba sprawdza ścieżkę odnowienia bez zastępowania aktywnego certyfikatu. Jeśli się nie powiedzie, odczytaj dane wyjściowe Certbota i rozwiąż problem z DNS, zaporą sieciową, routingiem typu challenge-routing lub serwerem Apache. Sprawdź, czy istnieje timer lub zaplanowane zadanie w narzędziach serwisowych systemu operacyjnego; nie zakładaj, że odnowienie jest aktywne tylko dlatego, że pierwszy certyfikat został wydany. Pozostaw port 80 dostępny, jeśli odnowienie korzysta z protokołu HTTP-01, lub upewnij się, że automatyzacja DNS-01 nadal może zaktualizować wymagany rekord TXT.

Typowe wybory i pułapki

Nie włączaj HSTS, includeSubDomainsdopóki każda odpowiednia subdomena nie będzie poprawnie obsługiwana przez HTTPS; nagłówek w jednej nazwie hosta wpływa na sposób, w jaki przeglądarki traktują jej subdomeny. Najpierw upewnij się, że certyfikat, przekierowania i odnawianie są niezawodne. Następnie zapoznaj się z wytycznymi ownCloud dotyczącymi wzmacniania zabezpieczeń dla HSTS i innych ustawień TLS, odpowiednich dla całego układu domeny.

Dokumentacja sprawdzona 6 października 2026 r. Dokładne ścieżki do plików i polecenia podane poniżej zakładają, że Ubuntu ma Apache i ownCloud Classic 10.16; wdrożenia Docker, reverse-proxy, hosting-panel, Nginx i inne niż Ubuntu wymagają instrukcji dotyczących faktycznego punktu końcowego TLS.

Odnośniki: ownCloud 10.16: Konfiguracja Apache'a z Let's Encrypt ; ownCloud 11: Wskazówki dotyczące protokołu HTTPS i odwrotnego serwera proxy ; ownCloud 10.16: Zaufane domeny ; Certbot: Instalacja i odnawianie serwera Apache ; Let's Encrypt: Typy wyzwań ; Let's Encrypt: Utrzymywanie otwartego portu 80 .