自宅サーバーのSSL証明書を無料取得する！Let’s Encrypt＆CertbotでDDNSドメインをHTTPS化する完全ガイド

$ sudo certbot certificates

Found the following certs:
  Certificate Name: xxxx.tplinkdns.com
    Serial Number: ...
    Key Type: ECDSA
    Domains: xxxx.tplinkdns.com
    Expiry Date: 2026-08-XX (VALID: 89 days)
    Certificate Path: /etc/letsencrypt/live/xxxx.tplinkdns.com/fullchain.pem
    Private Key Path: /etc/letsencrypt/live/xxxx.tplinkdns.com/privkey.pem

/etc/letsencrypt/
├── live/
│   └── xxxx.tplinkdns.com/
│       ├── cert.pem       ← サーバー証明書
│       ├── chain.pem      ← 中間証明書
│       ├── fullchain.pem  ← cert.pem + chain.pem（Nginxで使用）
│       └── privkey.pem    ← 秘密鍵（Nginxで使用）
├── renewal/
│   └── xxxx.tplinkdns.com.conf  ← 自動更新設定
└── renewal-hooks/
    └── deploy/            ← 更新後に実行するスクリプト置き場

① Certbot が Let's Encrypt サーバーに証明書発行を要求
② Let's Encrypt がランダムなトークンを生成して Certbot に通知
③ Certbot がそのトークンをサーバーの特定URLに配置
   http://xxxx.tplinkdns.com/.well-known/acme-challenge/{token}
④ Let's Encrypt が外部から上記URLにアクセスしてトークンを確認
⑤ 確認成功 → 証明書を発行

# Nginx が起動中であることを確認
$ sudo systemctl status nginx
● nginx.service - A high performance web server and a reverse proxy server
   Active: active (running)   ← これが表示されればOK

# ポート80でListenしているか確認
$ sudo ss -tlnp | grep :80
LISTEN  0  511  0.0.0.0:80  0.0.0.0:*  users:(("nginx",...))

$ sudo apt update
$ sudo apt install certbot python3-certbot-nginx

# インストール確認
$ certbot --version
certbot 2.9.0

# ECDSA鍵でSSL証明書を取得する（推奨）
$ sudo certbot --nginx -d xxxx.tplinkdns.com --key-type ecdsa

# RSA鍵でよい場合（--key-type を省略するとRSAになる）
# $ sudo certbot --nginx -d xxxx.tplinkdns.com

Saving debug log to /var/log/letsencrypt/letsencrypt.log
Enter email address (used for urgent renewal and security notices)
 (Enter 'c' to cancel): yourmail@example.com   ← メールアドレスを入力（更新通知に使用）

- - - - - - - - - - - - - - - - - - - - - - - - - -
Please read the Terms of Service at https://letsencrypt.org/documents/LE-SA-v1.3-September-21-2022.pdf
Do you agree? (Y)es/(N)o: Y   ← 利用規約に同意

- - - - - - - - - - - - - - - - - - - - - - - - - -
Would you like to share your email address with the Electronic Frontier Foundation,
a founding partner of the Let's Encrypt project? (Y)es/(N)o: N   ← EFFへのメール共有（任意）

- - - - - - - - - - - - - - - - - - - - - - - - - -
Successfully received certificate.
Certificate is saved at: /etc/letsencrypt/live/xxxx.tplinkdns.com/fullchain.pem
Key is saved at:         /etc/letsencrypt/live/xxxx.tplinkdns.com/privkey.pem

# 取得した証明書の一覧を確認
$ sudo certbot certificates

Found the following certs:
  Certificate Name: xxxx.tplinkdns.com
    Serial Number: xxxxxxxxxxxxxxxx
    Key Type: ECDSA
    Domains: xxxx.tplinkdns.com
    Expiry Date: 2026-08-XX (VALID: 89 days)
    Certificate Path: /etc/letsencrypt/live/xxxx.tplinkdns.com/fullchain.pem
    Private Key Path: /etc/letsencrypt/live/xxxx.tplinkdns.com/privkey.pem

# 証明書の詳細情報（有効期限・発行者・ドメイン）
$ openssl x509 -in /etc/letsencrypt/live/xxxx.tplinkdns.com/fullchain.pem -noout -dates -subject
notBefore=May 30 ...
notAfter=Aug 28 ...    ← 有効期限
subject=CN = xxxx.tplinkdns.com

server {
    listen 443 ssl;
    server_name xxxx.tplinkdns.com;

    # Let's Encrypt が発行した証明書（Certbot管理）
    ssl_certificate     /etc/letsencrypt/live/xxxx.tplinkdns.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/xxxx.tplinkdns.com/privkey.pem;

    # Certbot が自動生成した推奨SSL設定
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;

    # ...（その他の設定）
}

# HTTP → HTTPS リダイレクト
server {
    listen 80;
    server_name xxxx.tplinkdns.com;
    return 301 https://$host$request_uri;
}

# certbot.timer の状態確認
$ systemctl status certbot.timer

● certbot.timer - Run certbot twice daily
     Loaded: loaded (/lib/systemd/system/certbot.timer; enabled; ...)
     Active: active (waiting) since ...
    Trigger: ... (次回の実行予定日時)
   Triggers: ● certbot.service

# タイマーが有効になっているか確認
$ systemctl is-enabled certbot.timer
enabled   ← enabled であればOK

# タイマーの設定内容確認
$ cat /lib/systemd/system/certbot.timer
[Timer]
OnCalendar=*-*-* 00,12:00:00    ← 0時と12時に実行
RandomizedDelaySec=43200         ← 最大12時間のランダム遅延
Persistent=true

$ sudo certbot renew --dry-run

Saving debug log to /var/log/letsencrypt/letsencrypt.log

- - - - - - - - - - - - - - - - - - - - - - - - - -
Processing /etc/letsencrypt/renewal/xxxx.tplinkdns.com.conf
- - - - - - - - - - - - - - - - - - - - - - - - - -
Account registered.
Simulating renewal of an existing certificate for xxxx.tplinkdns.com

- - - - - - - - - - - - - - - - - - - - - - - - - -
Congratulations, all simulated renewals succeeded:
  /etc/letsencrypt/live/xxxx.tplinkdns.com/fullchain.pem (success)
- - - - - - - - - - - - - - - - - - - - - - - - - -

# デプロイフックスクリプトを作成
$ sudo nano /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh

#!/bin/bash
# 証明書更新成功後にNginxをリロードする
systemctl reload nginx

# 実行権限を付与
$ sudo chmod +x /etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh

# 外部からSSL証明書の詳細を確認する
$ openssl s_client -connect xxxx.tplinkdns.com:443 -servername xxxx.tplinkdns.com < /dev/null 2>/dev/null | openssl x509 -noout -text | grep -E "Issuer|Subject|Not Before|Not After"

Issuer: C=US, O=Let's Encrypt, CN=R11
Subject: CN=xxxx.tplinkdns.com
Not Before: May 30 XX:XX:XX 2026 GMT
Not After : Aug 28 XX:XX:XX 2026 GMT  ← 有効期限を確認

# すべての証明書の状態と有効期限を一覧表示
$ sudo certbot certificates

# 有効期限の残り日数のみ確認
$ echo | openssl s_client -servername xxxx.tplinkdns.com -connect xxxx.tplinkdns.com:443 2>/dev/null | openssl x509 -noout -enddate
notAfter=Aug 28 XX:XX:XX 2026 GMT

# certbot renew のログを確認
$ sudo journalctl -u certbot.service --since "7 days ago"