Como configurar SSL/HTTPS para o servidor ownCloud com Let's Encrypt

Para uma instância do ownCloud Server hospedada diretamente e executada por trás de um VirtualHost do Apache, o caminho usual é apontar um domínio público para o servidor, tornar o site HTTP acessível e executar o instalador do Apache do Certbot para esse nome de host. Por exemplo, se o endereço do seu ownCloud for `www.owncloud.com` cloud.example.com, o Certbot pode solicitar um certificado Let's Encrypt e configurar o Apache para servir HTTPS com `www.owncloud.com` sudo certbot --apache -d cloud.example.com. Teste o site e a renovação automática antes de confiar nele.

Este procedimento é para uma instalação do ownCloud Classic no estilo 10.16, hospedada pelo Apache no Ubuntu, conforme assumido pelo guia do Apache do ownCloud. Se você executar o ownCloud Classic 11 em um contêiner Docker, o ownCloud informa que o HTTPS deve ser configurado no proxy web em frente ao contêiner. Se um provedor de hospedagem ou proxy reverso já estiver encerrando o TLS, configure o certificado lá em vez de tentar instalá-lo no contêiner do ownCloud.

Verifique se esta configuração é adequada para o seu servidor.

O Let's Encrypt comprova que você controla o nome de domínio solicitado antes de emitir um certificado. Para o desafio HTTP-01, o Let's Encrypt precisa conseguir recuperar um arquivo temporário do seu servidor via HTTP público na porta 80. O mesmo nome de host deve ser resolvido para o endpoint público que serve o seu site ownCloud. O tráfego HTTPS então chega ao endpoint do Apache na porta 443.

• Você possui um nome de host público, como cloud.example.com, e controla seus registros DNS.
• O nome do host é resolvido para o endereço IP público do servidor Apache ou do proxy reverso público.
• As portas de entrada 80 e 443 são permitidas através do firewall, roteador e grupo de segurança em nuvem relevantes.
• O Apache já serve o site ownCloud através de um VirtualHost para esse nome de host.
• Você tem acesso de administrador à máquina que gerencia o tráfego público HTTP e HTTPS.

Se o seu site estiver atrás de um proxy, balanceador de carga, host de contêiner ou painel de controle, identifique onde o TLS público termina antes de executar o Certbot. Um certificado instalado na máquina errada não protegerá a conexão entre o navegador e o servidor. Para o ownCloud Classic 11, o design do Docker compatível gerencia o Apache dentro do contêiner e coloca o HTTPS no proxy da web.

Prepare o nome de host do ownCloud e o site Apache.

Use um nome de host dedicado para o ownCloud sempre que possível. O ownCloud exige que cada URL do navegador usada para fazer login esteja listada trusted_domainsem seu config/config.phparquivo. Se você estiver alterando de um endereço IP ou outro nome de host para ` cloud.example.comtrusted-domains`, adicione o novo host a uma entrada não utilizada na matriz `trusted-domains` antes de testar o novo endereço. Não sobrescreva outra entrada acidentalmente.

Confirme se o HTTP simples alcança o site ownCloud desejado antes de solicitar um certificado. No Apache, o VirtualHost deve identificar o nome do host exato com uma ServerNamediretiva. As instruções do Apache para o ownCloud pressupõem uma configuração de VirtualHost e, no Ubuntu, as definições do site são colocadas em `/etc/localhost` /etc/apache2/sites-available/. Os caminhos e nomes de serviço podem ser diferentes em outras distribuições.

Faça backup da configuração ativa do VirtualHost do Apache antes de alterá-la. Isso lhe dará um ponto de recuperação caso um instalador automatizado escolha o site errado ou crie um host HTTPS conflitante. Se você tiver vários sites no mesmo servidor, verifique os VirtualHosts existentes para garantir que o certificado esteja associado ao hostname do ownCloud em vez do site padrão.

Instale e execute o Certbot para Apache.

Instale o Certbot seguindo as instruções específicas para o seu sistema operacional e configuração do Apache. As instruções oficiais do Certbot recomendam o pacote Snap para muitas instalações Linux, mas a disponibilidade do pacote e os métodos de instalação suportados dependem da distribuição. Evite misturar várias instalações do Certbot, seja pelo gerenciador de pacotes do sistema operacional ou pelo Snap; o comando executado certbotdeve ser aquele cujo plugin do Apache você pretende usar.

Em um host Ubuntu onde o Snap está instalado e é suportado, as instruções do Certbot mostram este caminho de instalação:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Se o Certbot já estiver instalado, verifique qual versão seu shell utiliza e como foi instalado antes de adicionar outra cópia. Consulte o guia de instalação do Certbot para Apache para outras opções de instalação suportadas.

Solicite e instale o certificado para o nome de host do seu ownCloud:

sudo certbot --apache -d cloud.example.com

Substitua cloud.example.compelo nome de host real. O Certbot realizará a validação do domínio e, com o instalador do Apache, atualizará o Apache para usar o certificado emitido. Se você quiser que um único certificado cubra vários nomes, especifique cada nome explicitamente, por exemplo -d cloud.example.com -d files.example.com. Cada nome listado deve apontar para um endpoint acessível e passar na validação.

O Certbot pode perguntar se as requisições HTTP devem ser redirecionadas para HTTPS. Habilitar o redirecionamento é apropriado assim que o VirtualHost HTTPS estiver funcionando. O ownCloud recomenda HTTPS para produção e um redirecionamento permanente para tráfego não criptografado. Se você preferir gerenciar a configuração do Apache manualmente, o Certbot também oferece um modo somente com certificado; use o guia do Apache do ownCloud para conectar os arquivos de certificado e o VirtualHost corretamente e, em seguida, teste a configuração antes de reiniciar o Apache.

Quando a validação HTTP não consegue alcançar o seu servidor

O método HTTP-01 utiliza um caminho na /.well-known/acme-challenge/porta 80. Se um roteador encaminhar a porta 80 para outra máquina, um firewall a bloquear ou outro proxy rotear esse caminho para outro lugar, a validação poderá falhar mesmo que a página do ownCloud carregue via HTTPS. Verifique o DNS público e o encaminhamento de portas e certifique-se de que o desafio ACME alcance o mesmo endpoint onde o Certbot está em execução.

Se o seu provedor de internet ou a política de rede bloquear a porta 80, considere a validação DNS-01. Ela comprova o controle do domínio por meio de um registro TXT do DNS e pode emitir certificados curinga, mas a renovação automática depende da disponibilidade de um plugin de API adequado por parte do seu provedor de DNS. Evite colocar credenciais DNS genéricas em um servidor web quando houver uma credencial com escopo restrito ou um host de validação separado disponível. Não utilize um procedimento exclusivo de HTTP-01 para um certificado curinga.

Verifique o Apache e o ownCloud após a instalação.

Antes de fechar a janela de manutenção, verifique se a configuração do Apache é válida e se o Certbot lista o novo certificado:

sudo apache2ctl configtest
sudo certbot certificates

No Ubuntu, uma verificação de sintaxe bem-sucedida do Apache indica que a configuração é válida. Abra https://cloud.example.como servidor em um navegador e faça login. Confirme se o navegador exibe um certificado válido para o nome de host exato e teste um cliente típico de upload, download e sincronização de arquivos. Se você habilitou um redirecionamento, acesse o endereço HTTP e confirme se ele direciona para o mesmo nome de host HTTPS, sem um loop de redirecionamento.

Se a página de login do ownCloud reportar um domínio não confiável, verifique trusted_domainsa configuração do servidor. Se o navegador redirecionar para um nome de host incorreto ou se o ownCloud gerar links HTTP por trás de um proxy reverso, revise o host encaminhado e os cabeçalhos HTTPS do proxy, bem como as configurações de proxy do ownCloud. Essas configurações dependem da topologia do proxy; não copie configurações de proxy reverso para uma instalação direta do Apache sem um motivo específico.

Verifique a renovação antes de considerar o trabalho concluído.

Os certificados padrão do Let's Encrypt têm curta duração, portanto, a renovação precisa ser automatizada. As instalações do Certbot geralmente fornecem um temporizador systemd ou uma tarefa cron. Teste a renovação antecipadamente com:

sudo certbot renew --dry-run

Um teste de simulação verifica o caminho de renovação sem substituir o certificado ativo. Se falhar, leia a saída do Certbot e corrija o problema de DNS, firewall, roteamento de desafio ou Apache indicado. Confirme se existe um temporizador ou tarefa agendada com as ferramentas de serviço do seu sistema operacional; não assuma que a renovação está ativa apenas porque o primeiro certificado foi emitido. Mantenha a porta 80 disponível se a sua renovação usar HTTP-01 ou certifique-se de que a sua automação de DNS-01 ainda possa atualizar o registro TXT necessário.

Escolhas e armadilhas comuns

Não habilite o HSTS includeSubDomainsaté que todos os subdomínios relevantes estejam sendo servidos corretamente via HTTPS; um cabeçalho em um nome de host afeta a forma como os navegadores tratam seus subdomínios. Primeiro, certifique-se de que o certificado, os redirecionamentos e a renovação estejam confiáveis. Em seguida, revise as diretrizes de segurança do ownCloud para HSTS e outras configurações de TLS adequadas ao seu layout de domínio completo.

Documentação verificada em 6 de outubro de 2026. Os caminhos de arquivo e comandos exatos abaixo pressupõem o uso do Ubuntu com Apache e ownCloud Classic 10.16; implantações com Docker, proxy reverso, painel de hospedagem, Nginx e sistemas não Ubuntu exigem instruções específicas para seus respectivos endpoints TLS.

Referências: ownCloud 10.16: Configurar o Apache com o Let's Encrypt ; ownCloud 11: Orientações sobre HTTPS e proxy reverso ; ownCloud 10.16: Domínios confiáveis ; Certbot: Instalação e renovação do Apache ; Let's Encrypt: Tipos de desafio ; Let's Encrypt: Manter a porta 80 aberta .