Web na VPS: Nginx a certifikát Let's Encrypt (HTTPS)

Nginx je rýchly webový server. Nastavíme s ním statický web alebo ho postavíme pred vašu aplikáciu ako reverse proxy a zapneme HTTPS s certifikátom Let's Encrypt, ktorý sa bude sám obnovovať.

Ako to funguje#

Prehliadač sa pripojí na port 80 (HTTP) alebo 443 (HTTPS) vášho VPS. Nginx podľa domény v požiadavke vyberie správny server block (konfiguráciu jedného webu) a buď pošle súbor z disku (statický web), alebo požiadavku odovzdá aplikácii bežiacej na inom porte (reverse proxy).

Certifikát pre HTTPS vydá zadarmo Let's Encrypt. Program Certbot overí, že doménu ovládate (Let's Encrypt sa pripojí na port 80 a stiahne kontrolný súbor), certifikát stiahne, nastaví ho v Nginxe a potom ho sám obnovuje.

Predpoklady: DNS a porty#

1. Overte, že doména ukazuje na VPS. Na VPS spustite:

   getent hosts example.cz

   Uvidíte IP adresu vášho VPS (zo záložky Sieť). Ak nie, upravte DNS a počkajte na prejavenie zmeny.

2. Otvorte porty 80 a 443:

   • Firewall v zákazníckom účte (ak máte režim Blokovať všetko okrem povoleného): pravidlo Prichádzajúce · Povoliť · TCP · port 80,443. Návod: Firewall v zákazníckom účte.
   • UFW vo VPS (ak ho používate): ufw allow 80/tcp a ufw allow 443/tcp.

Inštalácia Nginxu#

Platí pre Ubuntu 24.04 aj Debian 13:

apt update
apt -y install nginx

• apt -y install nginx – nainštaluje Nginx. Služba sa hneď spustí a zapne po štarte VPS.

Overenie: v prehliadači otvorte http://<IP_ADRESA_VPS>. Za <IP_ADRESA_VPS> dosaďte IPv4 adresu zo záložky Sieť (napríklad http://203.0.113.10). Uvidíte uvítaciu stránku „Welcome to nginx!“.

Ako je konfigurácia usporiadaná#

Web teda zapnete tak, že vytvoríte súbor v sites-available a odkaz naň v sites-enabled. Vypnete ho zmazaním odkazu.

Statický web#

Statický web sú hotové súbory HTML, CSS, JavaScript a obrázky.

1. Vytvorte priečinok webu a skúšobnú stránku:

   mkdir -p /var/www/example.cz/html
   echo '<h1>Funguje to</h1>' > /var/www/example.cz/html/index.html

   • mkdir -p – vytvorí priečinok aj s nadradenými.
   • echo '…' > …/index.html – zapíše jednoduchú stránku do súboru index.html.

   Vlastné súbory webu neskôr nahrajte do tohto priečinka cez SFTP (návod) alebo v záložke Súbory.

2. Vytvorte konfiguráciu webu:

   nano /etc/nginx/sites-available/example.cz

   server {
       listen 80;
       listen [::]:80;
       server_name example.cz www.example.cz;
   
       root /var/www/example.cz/html;
       index index.html;
   
       location / {
           try_files $uri $uri/ =404;
       }
   }

3. Zapnite web, vypnite predvolenú uvítaciu stránku, otestujte konfiguráciu a načítajte ju:

   ln -s /etc/nginx/sites-available/example.cz /etc/nginx/sites-enabled/
   rm /etc/nginx/sites-enabled/default
   nginx -t
   systemctl reload nginx

   • ln -s … /etc/nginx/sites-enabled/ – vytvorí odkaz, Nginx web začne načítavať.
   • rm /etc/nginx/sites-enabled/default – vypne predvolený web (súbor zostane v sites-available).
   • nginx -t – skontroluje syntax všetkých konfigurácií. Musí skončiť syntax is ok a test is successful.
   • systemctl reload nginx – načíta novú konfiguráciu bez prerušenia spojení.

Overenie: http://example.cz zobrazí nadpis „Funguje to“.

Reverse proxy pre aplikáciu#

Aplikácia (Node.js, Python, Java, kontajner Dockeru) zvyčajne beží na vlastnom porte, napríklad 3000. Nginx pred ňu postavíte ako reverse proxy: prijme požiadavky na porte 80/443 a prepošle ich aplikácii. Výhody: HTTPS rieši Nginx, aplikácia nemusí byť vidieť z internetu a na jednom VPS môže bežať viac aplikácií pod rôznymi doménami.

Konfigurácia (namiesto statického webu, alebo ako ďalší súbor pre inú doménu, napríklad app.example.cz):

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}

server {
    listen 80;
    listen [::]:80;
    server_name app.example.cz;

    client_max_body_size 20m;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_http_version 1.1;

        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;
        proxy_read_timeout 300s;
    }
}

Zapnutie je rovnaké ako pri statickom webe:

ln -s /etc/nginx/sites-available/app.example.cz /etc/nginx/sites-enabled/
nginx -t
systemctl reload nginx

Aby aplikácia bežala trvalo a po reštarte VPS sa spustila sama, nastavte ju ako službu: Aplikácia 24/7 cez systemd.

HTTPS cez Certbot#

Inštalácia Certbotu#

apt -y install certbot python3-certbot-nginx

• certbot – klient pre Let's Encrypt.
• python3-certbot-nginx – doplnok, ktorý dokáže overiť doménu cez Nginx a sám upraviť jeho konfiguráciu.

Získanie certifikátu#

certbot --nginx -d example.cz -d www.example.cz

• --nginx – overenie cez Nginx a automatická úprava jeho konfigurácie.
• -d example.cz -d www.example.cz – domény, pre ktoré certifikát chcete. Každá musí mať DNS záznam mieriaci na VPS a musí byť uvedená v server_name niektorého webu.

Pri prvom spustení Certbot položí tieto otázky:

Výsledok: Successfully deployed certificate for example.cz to /etc/nginx/sites-enabled/example.cz a Congratulations! You have successfully enabled HTTPS….

Čo Certbot v konfigurácii zmenil#

Otvorte konfiguráciu webu (nano /etc/nginx/sites-available/example.cz). Riadky označené # managed by Certbot pridal Certbot:

Tieto riadky neupravujte ručne, ak presne neviete prečo. Certbot s nimi počíta pri obnove.

Automatická obnova#

Certifikát Let's Encrypt platí 90 dní (stav k októbru 2026, Let's Encrypt platnosť postupne skracuje). Balík Certbotu nainštaloval časovač, ktorý dvakrát denne skontroluje certifikáty a obnoví tie, ktorým zostáva zhruba tretina platnosti. Doplnok pre Nginx po obnove Nginx sám načíta znova.

Overte, že časovač existuje a že obnova prejde:

systemctl list-timers | grep certbot
certbot renew --dry-run

• systemctl list-timers | grep certbot – vypíše riadok s certbot.timer a časom ďalšieho spustenia.
• certbot renew --dry-run – vyskúša obnovu proti testovaciemu serveru, skutočné certifikáty nemení. Musí skončiť Congratulations, all simulated renewals succeeded.

Prehľad certifikátov a ich platnosti vypíše certbot certificates.

Cloudflare a režimy SSL#

Ak web beží cez proxy Cloudflare (oranžový obláčik), šifrujú sa dve spojenia: medzi návštevníkom a Cloudflare a medzi Cloudflare a vaším VPS. Druhé určuje režim SSL/TLS v Cloudflare:

Po prepnutí na Proxied spustite certbot renew --dry-run a overte, že obnova certifikátu prejde aj cez proxy Cloudflare. Ak zlyhá, skontrolujte, že v Cloudflare neblokujete port 80 vlastnými pravidlami. Trvalé riešenie pre pokročilých je overovať doménu cez DNS doplnkom python3-certbot-dns-cloudflare (postup v dokumentácii Certbotu (otvorí sa v novom okne)).

Základné zabezpečenie#

1. Skrytie verzie Nginxu. Na Debiane 13 je v /etc/nginx/nginx.conf už predvolený riadok server_tokens off;. Na Ubuntu 24.04 ho otvorte (nano /etc/nginx/nginx.conf) a v bloku http odstráňte # pred riadkom # server_tokens off;. Nginx potom neprezradí svoju verziu v hlavičkách ani na chybových stránkach.

2. Bezpečnostné hlavičky. Do bloku server s portom 443 môžete pridať:

   add_header X-Content-Type-Options nosniff always;
   add_header X-Frame-Options SAMEORIGIN always;
   add_header Referrer-Policy strict-origin-when-cross-origin always;

   • X-Content-Type-Options nosniff – prehliadač nebude hádať typ súboru (ochrana proti podvrhnutým skriptom).
   • X-Frame-Options SAMEORIGIN – web nepôjde vložiť do cudzej stránky v ráme (ochrana proti clickjackingu).
   • Referrer-Policy strict-origin-when-cross-origin – cudzím webom sa pošle iba doména, nie celá adresa stránky.
   • always – hlavička sa pošle aj pri chybových odpovediach.

3. Po každej zmene spustite nginx -t a systemctl reload nginx.

Overenie#

curl -I http://example.cz
curl -I https://example.cz

• curl -I – stiahne iba hlavičky odpovede.

Prvý príkaz vráti HTTP/1.1 301 Moved Permanently s hlavičkou Location: https://example.cz/, druhý HTTP/1.1 200 OK (alebo HTTP/2 200). V prehliadači uvidíte pri adrese zámok.

Keď niečo nefunguje#

nginx -t hlási chybu#

Výpis obsahuje súbor a číslo riadka, napríklad unexpected "}" in /etc/nginx/sites-enabled/example.cz:12. Najčastejšie chýba bodkočiarka na konci direktívy alebo je navyše či chýba zložená zátvorka. Opravte riadok a test spustite znova. Nginx s chybnou konfiguráciou nereštartujte, nenaštartoval by.

502 Bad Gateway#

Nginx beží, ale aplikácia za ním neodpovedá. Skontrolujte, že aplikácia beží a počúva na porte z proxy_pass:

ss -tlnp | grep 3000

• ss -tlnp – počúvajúce TCP porty s názvami programov.

Keď sa nič nevypíše, aplikácia nebeží alebo počúva inde. Podrobnosti nájdete v /var/log/nginx/error.log (riadok s connect() failed (111: Connection refused)).

504 Gateway Time-out#

Aplikácia odpovedala neskoro. Zvýšte proxy_read_timeout, alebo zistite, prečo je aplikácia pomalá.

413 Request Entity Too Large#

Nahrávaný súbor je väčší než client_max_body_size (predvolené 1 MB). Zvýšte hodnotu v bloku server a načítajte konfiguráciu.

Zobrazuje sa „Welcome to nginx!“ namiesto webu#

Stále je aktívny predvolený web, alebo doména v server_name nezodpovedá adrese v prehliadači. Zmažte /etc/nginx/sites-enabled/default a skontrolujte server_name.

Nginx nenaštartuje: Address already in use#

Port 80 alebo 443 drží iný program, typicky Apache. Zistite ktorý: ss -tlnp | grep -E ':80 |:443 '. Apache zastavte a vypnite (systemctl disable --now apache2), alebo ho odinštalujte.

Certbot: Could not automatically find a matching server block#

Žiadny web nemá v server_name doménu, pre ktorú certifikát žiadate. Doplňte ju do server_name, spustite nginx -t, systemctl reload nginx a Certbot znova.

Certbot: Timeout during connect (likely firewall problem) alebo Connection refused#

Let's Encrypt sa nedostal na port 80. Skontrolujte DNS (getent hosts example.cz), firewall v zákazníckom účte a UFW. Ak má doména záznam AAAA, musí ukazovať na IPv6 adresu tohto VPS a web musí počúvať aj na IPv6 (listen [::]:80;).

Cloudflare: chyba 521, 522, 525 alebo 526#

• 521 – VPS spojenie odmietol: Nginx nebeží alebo firewall blokuje port 443.
• 522 – spojenie vypršalo: VPS je nedostupný alebo firewall pakety zahadzuje.
• 525 – nepodarilo sa nadviazať TLS: Nginx na porte 443 nemá platnú konfiguráciu HTTPS.
• 526 – certifikát na VPS je neplatný alebo prešlý, a to v režime Full (strict). Skontrolujte certbot certificates.

ERR_TOO_MANY_REDIRECTS#

Typicky Cloudflare v režime Flexible spolu s presmerovaním na HTTPS. Prepnite Cloudflare na Full (strict).

Ďalšie zdroje#

• nginx: Beginner's Guide (otvorí sa v novom okne)
• nginx: WebSocket proxying (otvorí sa v novom okne)
• nginx: ngx_http_proxy_module (otvorí sa v novom okne)
• Certbot: User Guide (otvorí sa v novom okne)
• Let's Encrypt: Rate Limits (otvorí sa v novom okne)
• Cloudflare: SSL/TLS encryption modes (otvorí sa v novom okne)