Web na VPS: Nginx a certifikát Let's Encrypt (HTTPS)

Nginx je rychlý webový server. Nastavíme s ním statický web nebo ho postavíme před vaši aplikaci jako reverse proxy a zapneme HTTPS s certifikátem Let's Encrypt, který se bude sám obnovovat.

Jak to funguje#

Prohlížeč se připojí na port 80 (HTTP) nebo 443 (HTTPS) vaší VPS. Nginx podle domény v požadavku vybere správný server block (konfiguraci jednoho webu) a buď pošle soubor z disku (statický web), nebo požadavek předá aplikaci běžící na jiném portu (reverse proxy).

Certifikát pro HTTPS vydá zdarma Let's Encrypt. Program Certbot ověří, že doménu ovládáte (Let's Encrypt se připojí na port 80 a stáhne kontrolní soubor), certifikát stáhne, nastaví ho v Nginxu a pak ho sám obnovuje.

Předpoklady: DNS a porty#

1. Ověřte, že doména ukazuje na VPS. Na VPS spusťte:

   getent hosts example.cz

   Uvidíte IP adresu vaší VPS (ze záložky Síť). Pokud ne, upravte DNS a počkejte na projevení změny.

2. Otevřete porty 80 a 443:

   • Firewall v zákaznické zóně (pokud máte režim Blokovat vše kromě povoleného): pravidlo Příchozí · Povolit · TCP · port 80,443. Návod: Firewall v zákaznické zóně.
   • UFW ve VPS (pokud ho používáte): ufw allow 80/tcp a ufw allow 443/tcp.

Instalace Nginxu#

Platí pro Ubuntu 24.04 i Debian 13:

apt update
apt -y install nginx

• apt -y install nginx – nainstaluje Nginx. Služba se hned spustí a zapne po startu VPS.

Ověření: v prohlížeči otevřete http://<IP_ADRESA_VPS>. Za <IP_ADRESA_VPS> dosaďte IPv4 adresu ze záložky Síť (například http://203.0.113.10). Uvidíte uvítací stránku „Welcome to nginx!“.

Jak je konfigurace uspořádaná#

Web tedy zapnete tak, že vytvoříte soubor v sites-available a odkaz na něj v sites-enabled. Vypnete ho smazáním odkazu.

Statický web#

Statický web jsou hotové soubory HTML, CSS, JavaScript a obrázky.

1. Vytvořte složku webu a zkušební stránku:

   mkdir -p /var/www/example.cz/html
   echo '<h1>Funguje to</h1>' > /var/www/example.cz/html/index.html

   • mkdir -p – vytvoří složku i s nadřazenými.
   • echo '…' > …/index.html – zapíše jednoduchou stránku do souboru index.html.

   Vlastní soubory webu později nahrajte do této složky přes SFTP (návod) nebo v záložce Soubory.

2. Vytvořte konfiguraci webu:

   nano /etc/nginx/sites-available/example.cz

   server {
       listen 80;
       listen [::]:80;
       server_name example.cz www.example.cz;
   
       root /var/www/example.cz/html;
       index index.html;
   
       location / {
           try_files $uri $uri/ =404;
       }
   }

3. Zapněte web, vypněte výchozí uvítací stránku, otestujte konfiguraci a načtěte ji:

   ln -s /etc/nginx/sites-available/example.cz /etc/nginx/sites-enabled/
   rm /etc/nginx/sites-enabled/default
   nginx -t
   systemctl reload nginx

   • ln -s … /etc/nginx/sites-enabled/ – vytvoří odkaz, Nginx web začne načítat.
   • rm /etc/nginx/sites-enabled/default – vypne výchozí web (soubor zůstane v sites-available).
   • nginx -t – zkontroluje syntaxi všech konfigurací. Musí skončit syntax is ok a test is successful.
   • systemctl reload nginx – načte novou konfiguraci bez přerušení spojení.

Ověření: http://example.cz zobrazí nadpis „Funguje to“.

Reverse proxy pro aplikaci#

Aplikace (Node.js, Python, Java, kontejner Dockeru) obvykle běží na vlastním portu, například 3000. Nginx před ni postavíte jako reverse proxy: přijme požadavky na portu 80/443 a přepošle je aplikaci. Výhody: HTTPS řeší Nginx, aplikace nemusí být vidět z internetu a na jedné VPS může běžet víc aplikací pod různými doménami.

Konfigurace (místo statického webu, nebo jako další soubor pro jinou doménu, například app.example.cz):

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}

server {
    listen 80;
    listen [::]:80;
    server_name app.example.cz;

    client_max_body_size 20m;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_http_version 1.1;

        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;
        proxy_read_timeout 300s;
    }
}

Zapnutí je stejné jako u statického webu:

ln -s /etc/nginx/sites-available/app.example.cz /etc/nginx/sites-enabled/
nginx -t
systemctl reload nginx

Aby aplikace běžela trvale a po restartu VPS se spustila sama, nastavte ji jako službu: Aplikace 24/7 přes systemd.

HTTPS přes Certbot#

Instalace Certbotu#

apt -y install certbot python3-certbot-nginx

• certbot – klient pro Let's Encrypt.
• python3-certbot-nginx – doplněk, který umí ověřit doménu přes Nginx a sám upravit jeho konfiguraci.

Získání certifikátu#

certbot --nginx -d example.cz -d www.example.cz

• --nginx – ověření přes Nginx a automatická úprava jeho konfigurace.
• -d example.cz -d www.example.cz – domény, pro které certifikát chcete. Každá musí mít DNS záznam mířící na VPS a musí být uvedená v server_name některého webu.

Při prvním spuštění Certbot položí tyto otázky:

Výsledek: Successfully deployed certificate for example.cz to /etc/nginx/sites-enabled/example.cz a Congratulations! You have successfully enabled HTTPS….

Co Certbot v konfiguraci změnil#

Otevřete konfiguraci webu (nano /etc/nginx/sites-available/example.cz). Řádky označené # managed by Certbot přidal Certbot:

Tyto řádky neupravujte ručně, pokud přesně nevíte proč. Certbot s nimi počítá při obnově.

Automatická obnova#

Certifikát Let's Encrypt platí 90 dní (stav k říjnu 2026, Let's Encrypt platnost postupně zkracuje). Balíček Certbotu nainstaloval časovač, který dvakrát denně zkontroluje certifikáty a obnoví ty, kterým zbývá zhruba třetina platnosti. Doplněk pro Nginx po obnově Nginx sám načte znovu.

Ověřte, že časovač existuje a že obnova projde:

systemctl list-timers | grep certbot
certbot renew --dry-run

• systemctl list-timers | grep certbot – vypíše řádek s certbot.timer a časem dalšího spuštění.
• certbot renew --dry-run – vyzkouší obnovu proti testovacímu serveru, skutečné certifikáty nemění. Musí skončit Congratulations, all simulated renewals succeeded.

Přehled certifikátů a jejich platnosti vypíše certbot certificates.

Cloudflare a režimy SSL#

Pokud web běží přes proxy Cloudflare (oranžový mráček), šifrují se dvě spojení: mezi návštěvníkem a Cloudflare a mezi Cloudflare a vaší VPS. Druhé určuje režim SSL/TLS v Cloudflare:

Po přepnutí na Proxied spusťte certbot renew --dry-run a ověřte, že obnova certifikátu projde i přes proxy Cloudflare. Pokud selže, zkontrolujte, že v Cloudflare neblokujete port 80 vlastními pravidly. Trvalé řešení pro pokročilé je ověřovat doménu přes DNS doplňkem python3-certbot-dns-cloudflare (postup v dokumentaci Certbotu (otevře se v novém okně)).

Základní zabezpečení#

1. Skrytí verze Nginxu. Na Debianu 13 je v /etc/nginx/nginx.conf už výchozí řádek server_tokens off;. Na Ubuntu 24.04 ho otevřete (nano /etc/nginx/nginx.conf) a v bloku http odstraňte # před řádkem # server_tokens off;. Nginx pak neprozradí svou verzi v hlavičkách ani na chybových stránkách.

2. Bezpečnostní hlavičky. Do bloku server s portem 443 můžete přidat:

   add_header X-Content-Type-Options nosniff always;
   add_header X-Frame-Options SAMEORIGIN always;
   add_header Referrer-Policy strict-origin-when-cross-origin always;

   • X-Content-Type-Options nosniff – prohlížeč nebude hádat typ souboru (ochrana proti podvrženým skriptům).
   • X-Frame-Options SAMEORIGIN – web nepůjde vložit do cizí stránky v rámu (ochrana proti clickjackingu).
   • Referrer-Policy strict-origin-when-cross-origin – cizím webům se pošle jen doména, ne celá adresa stránky.
   • always – hlavička se pošle i u chybových odpovědí.

3. Po každé změně spusťte nginx -t a systemctl reload nginx.

Ověření#

curl -I http://example.cz
curl -I https://example.cz

• curl -I – stáhne jen hlavičky odpovědi.

První příkaz vrátí HTTP/1.1 301 Moved Permanently s hlavičkou Location: https://example.cz/, druhý HTTP/1.1 200 OK (nebo HTTP/2 200). V prohlížeči uvidíte u adresy zámek.

Když něco nefunguje#

nginx -t hlásí chybu#

Výpis obsahuje soubor a číslo řádku, například unexpected "}" in /etc/nginx/sites-enabled/example.cz:12. Nejčastěji chybí středník na konci direktivy nebo je navíc či chybí složená závorka. Opravte řádek a test spusťte znovu. Nginx s chybnou konfigurací nerestartujte, nenastartoval by.

502 Bad Gateway#

Nginx běží, ale aplikace za ním neodpovídá. Zkontrolujte, že aplikace běží a naslouchá na portu z proxy_pass:

ss -tlnp | grep 3000

• ss -tlnp – naslouchající TCP porty s názvy programů.

Když se nic nevypíše, aplikace neběží nebo poslouchá jinde. Podrobnosti najdete v /var/log/nginx/error.log (řádek s connect() failed (111: Connection refused)).

504 Gateway Time-out#

Aplikace odpověděla pozdě. Zvyšte proxy_read_timeout, nebo zjistěte, proč je aplikace pomalá.

413 Request Entity Too Large#

Nahrávaný soubor je větší než client_max_body_size (výchozí 1 MB). Zvyšte hodnotu v bloku server a načtěte konfiguraci.

Zobrazuje se „Welcome to nginx!“ místo webu#

Pořád je aktivní výchozí web, nebo doména v server_name neodpovídá adrese v prohlížeči. Smažte /etc/nginx/sites-enabled/default a zkontrolujte server_name.

Nginx nenastartuje: Address already in use#

Port 80 nebo 443 drží jiný program, typicky Apache. Zjistěte který: ss -tlnp | grep -E ':80 |:443 '. Apache zastavte a vypněte (systemctl disable --now apache2), nebo ho odinstalujte.

Certbot: Could not automatically find a matching server block#

Žádný web nemá v server_name doménu, pro kterou certifikát žádáte. Doplňte ji do server_name, spusťte nginx -t, systemctl reload nginx a Certbot znovu.

Certbot: Timeout during connect (likely firewall problem) nebo Connection refused#

Let's Encrypt se nedostal na port 80. Zkontrolujte DNS (getent hosts example.cz), firewall v zákaznické zóně a UFW. Pokud má doména záznam AAAA, musí ukazovat na IPv6 adresu této VPS a web musí naslouchat i na IPv6 (listen [::]:80;).

Cloudflare: chyba 521, 522, 525 nebo 526#

• 521 – VPS spojení odmítla: Nginx neběží nebo firewall blokuje port 443.
• 522 – spojení vypršelo: VPS je nedostupná nebo firewall pakety zahazuje.
• 525 – nepovedlo se navázat TLS: Nginx na portu 443 nemá platnou konfiguraci HTTPS.
• 526 – certifikát na VPS je neplatný nebo prošlý, a to v režimu Full (strict). Zkontrolujte certbot certificates.

ERR_TOO_MANY_REDIRECTS#

Typicky Cloudflare v režimu Flexible spolu s přesměrováním na HTTPS. Přepněte Cloudflare na Full (strict).

Další zdroje#

• nginx: Beginner's Guide (otevře se v novém okně)
• nginx: WebSocket proxying (otevře se v novém okně)
• nginx: ngx_http_proxy_module (otevře se v novém okně)
• Certbot: User Guide (otevře se v novém okně)
• Let's Encrypt: Rate Limits (otevře se v novém okně)
• Cloudflare: SSL/TLS encryption modes (otevře se v novém okně)