LinuxでSSL証明書を設定する入門｜Let's EncryptとcertbotでNginxをHTTPS対応にする方法

この記事のポイント

・Let's Encryptは無料で使えるSSL証明書の発行機関で、有効期限は90日間
・certbot --nginxコマンド1本でNginxの設定を自動的にHTTPS対応に書き換えられる
・事前にドメインのDNSがサーバーのIPアドレスを向いていることと、ポート80/443が開いていることが前提条件
・自動更新設定を忘れると90日後に証明書が切れてサイトにアクセスできなくなる

# Ubuntu 24.04（UFW）の場合
$ sudo ufw allow 80/tcp
$ sudo ufw allow 443/tcp
$ sudo ufw status

Status: active

To                         Action      From
--                         ------      ----
OpenSSH                    ALLOW       Anywhere
80/tcp                     ALLOW       Anywhere
443/tcp                    ALLOW       Anywhere

# Rocky Linux 9（firewalld）の場合
$ sudo firewall-cmd --permanent --add-service=http
$ sudo firewall-cmd --permanent --add-service=https
$ sudo firewall-cmd --reload
$ sudo firewall-cmd --list-all
public (active)
  services: dhcpv6-client http https ssh

# snapdをインストール（入っていない場合）
$ sudo apt update
$ sudo apt install -y snapd

# snap経由でcertbotをインストール
$ sudo snap install --classic certbot
certbot 2.11.0 from Certbot Project (certbot-eff) installed

# certbotコマンドをパスに通す
$ sudo ln -s /snap/bin/certbot /usr/bin/certbot

# インストール確認
$ certbot --version
certbot 2.11.0

# EPELリポジトリを有効にする
$ sudo dnf install -y epel-release

# snapdをインストール
$ sudo dnf install -y snapd
$ sudo systemctl enable --now snapd.socket

# snapのクラシックサポートを有効にする
$ sudo ln -s /var/lib/snapd/snap /snap

# ログアウト・再ログイン後にcertbotをインストール
$ sudo snap install --classic certbot
certbot 2.11.0 from Certbot Project (certbot-eff) installed

# certbotコマンドをパスに通す
$ sudo ln -s /snap/bin/certbot /usr/bin/certbot

# インストール確認
$ certbot --version
certbot 2.11.0

# Nginxのデフォルト設定を確認する（Ubuntu）
$ sudo grep -n "server_name" /etc/nginx/sites-enabled/default
5:    server_name example.com www.example.com;

# Rocky Linux 9の場合
$ sudo grep -n "server_name" /etc/nginx/conf.d/default.conf
5:    server_name example.com www.example.com;

# example.comのSSL証明書を取得する
$ sudo certbot --nginx -d example.com -d www.example.com

Saving debug log to /var/log/letsencrypt/letsencrypt.log
Requesting a certificate for example.com and www.example.com

Successfully received certificate.
Certificate is saved at: /etc/letsencrypt/live/example.com/fullchain.pem
Key is saved at:         /etc/letsencrypt/live/example.com/privkey.pem
This certificate expires on 2026-10-27.
These files will be updated when the certificate renews.

Deploying certificate to VirtualHost /etc/nginx/sites-enabled/default
Redirecting all traffic on port 80 to ssl in /etc/nginx/sites-enabled/default

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Congratulations! You have successfully enabled HTTPS on
https://example.com and https://www.example.com

# curlでHTTPS接続を確認する（-Iはヘッダーのみ表示）
$ curl -I https://example.com

HTTP/2 200
server: nginx/1.24.0
content-type: text/html; charset=UTF-8
...

# 取得した証明書の情報を確認する
$ sudo certbot certificates

Found the following certs:
  Certificate Name: example.com
    Domains: example.com www.example.com
    Expiry Date: 2026-10-27 05:32:14+00:00 (VALID: 89 days)
    Certificate Path: /etc/letsencrypt/live/example.com/fullchain.pem
    Private Key Path: /etc/letsencrypt/live/example.com/privkey.pem

# systemdタイマーの状態を確認する
$ sudo systemctl status snap.certbot.renew.timer

snap.certbot.renew.timer - Timer renewing certbot certificates
     Loaded: loaded (/etc/systemd/system/snap.certbot.renew.timer; enabled)
     Active: active (waiting) since 2026-07-28 10:00:00 JST
    Trigger: 2026-07-29 02:45:22 JST

# --dry-runで実際の更新はせずにテスト実行する
$ sudo certbot renew --dry-run

Saving debug log to /var/log/letsencrypt/letsencrypt.log

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Processing /etc/letsencrypt/renewal/example.com.conf
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Account registered.
Simulating renewal of an existing certificate for example.com

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Congratulations, all simulated renewals succeeded:
  /etc/letsencrypt/live/example.com/fullchain.pem (success)
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

# standaloneモードで実行する場合のみ、Nginxを一時停止する
$ sudo systemctl stop nginx
$ sudo certbot certonly --standalone -d example.com
$ sudo systemctl start nginx

# 通常はこちら（nginxモード）を使う。停止不要
$ sudo certbot --nginx -d example.com

# サーバー上からドメインのIPアドレスを確認する
$ dig example.com +short
203.0.113.10

# pingでも確認できる
$ ping -c 1 example.com
PING example.com (203.0.113.10) 56(84) bytes of data.
64 bytes from 203.0.113.10: icmp_seq=1 ttl=64 time=0.5 ms