Commenti a "Come ottenere un certificato HTTPS (SSL/TLS) gratis: la Grande Guida a Let's Encrypt su Linux CentOS/Ubuntu

[Zane]

Come ottenere un certificato HTTPS (SSL/TLS) gratis: la Grande Guida a Let's Encrypt su Linux CentOS/Ubuntu (rating SSL Labs: "A+")



In passato, i gestori di siti web dovevano metter mano al portafogli per adottare HTTPS (protocolli SSL e TLS) e proteggere tramite crittografia le informazioni scambiate fra il webserver ed il browser dei visitatori. Fatte salve rare eccezioni, il certificato digitale necessario per far apparire il "lucchetto" nella barra degli indirizzi veniva infatti rilasciato solo in seguito al pagamento di un corrispettivo e di una procedura burocratica e tecnica piuttosto noiosa. Tutto questo è cambiato grazie a Let's Encrypt, progetto realizzato da un'associazione no-profit che si pone un obbiettivo lodevole: erogare automaticamente, immediatamente e gratuitamente certificati SSL/TLS utilizzabili da chiunque per rendere sicuro lo scambio di dati sul "WWW". Qui su TurboLab.it abbiamo adottato Let's Encrypt con soddisfazione da qualche tempo: questa è la guida rapida, basata sulla nostra esperienza, per ottenere un certificato HTTPS (SSL/TLS) gratuito e configurare tutto al meglio, fino a ricevere il rating "A+" da SSL Labs [continua..]

Inserite di seguito i vostri commenti.

[connessionevpn]

Ciao,
seguo alla lettera la tua guida mi viene questo errore
Error: urn:acme:error:malformed :: The request message was malformed :: Invalid character in DNS name

uso ubuntu 14 ma dopo il punto 8 mi perdo
grazie in anticipo

[Zane]

In questo topic sulla community di Let's Encrypt la causa del problema "Invalid character in DNS name" era che l'autore stava cercando di ottenere un certificato wildcard (*.miosito.com), che Let's Encrypt non supporta.

Se non è questo il tuo problema, mostraci il contenuto del file /var/log/letsencrypt e vediamo cosa dice

[connessionevpn]

Ripetendo la guida passo dopo passo incontro subito ostacoli al punto 9
<VirtualHost *:443>
ServerName nomedel sito
DocumentRoot /var/www/html/nome cartella/
<Directory "/var/www/html/nome cartella/">
Options Indexes FollowSymlinks
AllowOverride None
Require all granted
</Directory>
</VirtualHost>


è facendo partire apache2 ( service apache2 restart) * Restarting web server apache2 Action 'start' failed.
The Apache error log may have more information.
[Thu Oct 13 15:09:47.944410 2016] [ssl:emerg] [pid 9267] AH02240: Server should be SSL-aware but has no certificate configured [Hint: SSLCertificateFile] ((null):0)
[Thu Oct 13 15:09:47.944471 2016] [ssl:emerg] [pid 9267] AH02312: Fatal error initialising mod_ssl, exiting.

La versione di apache: Server version: Apache/2.4.7 (Ubuntu)
Server built: Jul 15 2016 15:34:04

[connessionevpn]

2016-10-13 12:22:32,520:DEBUG:root:Sending GET request to https://acme-v01.api.letsencrypt.org/acme/issuer-cert. args: (), kwargs: {'headers': {'Accept': 'application/pkix-cert'}}
2016-10-13 12:22:32,718:DEBUG:requests.packages.urllib3.connectionpool:"GET /acme/issuer-cert HTTP/1.1" 200 1174
2016-10-13 12:22:32,719:DEBUG:root:Received <Response [200]>. Headers: {'Content-Length': '1174', 'Expires': 'Thu, 13 Oct 2016 12:22:32 GMT', 'Boulder-Request-Id': '30EhU48KpPpx0QwqXJyzO3JBNq0fwDtfNsxQs8b3wRE', 'Strict-Transport-Security': 'max-age=604800', 'Server': 'nginx', 'Connection': 'keep-alive', 'Pragma': 'no-cache', 'Cache-Control': 'max-age=0, no-cache, no-store', 'Date': 'Thu, 13 Oct 2016 12:22:32 GMT', 'X-Frame-Options': 'DENY', 'Content-Type': 'application/pkix-cert', 'Replay-Nonce': 'B0XP14kVbGACHihbmrZBoNNJmMt5X-wNAyEiJuH00IU'}. Content: '0\x82\x04\x920\x82\x03z\xa0\x03\x02\x01\x02\x02\x10\n\x01AB\x00\x00\x01S\x85sj\x0b\x85\xec\xa7\x080\r\x06\t*\x86H\x86\xf7\r\x01\x01\x0b\x05\x000?1$0"\x06\x03U\x04\n\x13\x1bDigital Signature Trust Co.1\x170\x15\x06\x03U\x04\x03\x13\x0eDST Root CA X30\x1e\x17\r160317164046Z\x17\r210317164046Z0J1\x0b0\t\x06\x03U\x04\x06\x13\x02US1\x160\x14\x06\x03U\x04\n\x13\rLet\'s Encrypt1#0!\x06\x03U\x04\x03\x13\x1aLet\'s Encrypt Authority X30\x82\x01"0\r\x06\t*\x86H\x86\xf7\r\x01\x01\x01\x05\x00\x03\x82\x01\x0f\x000\x82\x01\n\x02\x82\x01\x01\x00\x9c\xd3\x0c\xf0Z\xe5.G\xb7r]7\x83\xb3hc0\xea\xd75&\x19%\xe1\xbd\xbe5\xf1p\x92/\xb7\xb8KA\x05\xab\xa9\x9e5\x08X\xec\xb1*\xc4h\x87\x0b\xa3\xe3u\xe4\xe6\xf3\xa7bq\xbay\x81`\x1f\xd7\x91\x9a\x9f\xf3\xd0xgq\xc8i\x0e\x95\x91\xcf\xfe\xe6\x99\xe9`<H\xcc~\xcaMw\x12$\x9dG\x1bZ\xeb\xb9\xec\x1e7\x00\x1c\x9c\xac{\xa7\x05\xea\xceJ\xeb\xbdA\xe56\x98\xb9\xcb\xfdm<\x96h\xdf#*B\x90\x0c\x86tg\xc8\x7f\xa5\x9a\xb8Ra\x14\x13?e\xe9\x82\x87\xcb\xdb\xfa\x0eV\xf6\x86\x89\xf3\x85?\x97\x86\xaf\xb0\xdc\x1a\xefk\r\x95\x16}\xc4+\xa0e\xb2\x99\x046u\x80k\xacJ\xf3\x1b\x90Ix/\xa2\x96O* %)\x04\xc6t\xc0\xd01\xcd\x8f18\x95\x16\xba\xa83\xb8C\xf1\xb1\x1f\xc30\x7f\xa2y1\x13=-6\xf8\xe3\xfc\xf23j\xb991\xc5\xaf\xc4\x8d\r\x1dd\x163\xaa\xfa\x84)\xb6\xd4\x0b\xc0\xd8}\xc3\x93\x02\x03\x01\x00\x01\xa3\x82\x01}0\x82\x01y0\x12\x06\x03U\x1d\x13\x01\x01\xff\x04\x080\x06\x01\x01\xff\x02\x01\x000\x0e\x06\x03U\x1d\x0f\x01\x01\xff\x04\x04\x03\x02\x01\x860\x7f\x06\x08+\x06\x01\x05\x05\x07\x01\x01\x04s0q02\x06\x08+\x06\x01\x05\x05\x070\x01\x86&http://isrg.trustid.ocsp.identrust.com0;\x06\x08+\x06\x01\x05\x05\x070\x02\x86/http://apps.identrust.com/roots/dstrootcax3.p7c0\x1f\x06\x03U\x1d#\x04\x180\x16\x80\x14\xc4\xa7\xb1\xa4{,q\xfa\xdb\xe1K\x90u\xff\xc4\x15`\x85\x89\x100T\x06\x03U\x1d \x04M0K0\x08\x06\x06g\x81\x0c\x01\x02\x010?\x06\x0b+\x06\x01\x04\x01\x82\xdf\x13\x01\x01\x01000.\x06\x08+\x06\x01\x05\x05\x07\x02\x01\x16"http://cps.root-x1.letsencrypt.org0<\x06\x03U\x1d\x1f\x0450301\xa0/\xa0-\x86+http://crl.identrust.com/DSTROOTCAX3CRL.crl0\x1d\x06\x03U\x1d\x0e\x04\x16\x04\x14\xa8Jjc\x04}\xdd\xba\xe6\xd19\xb7\xa6Ee\xef\xf3\xa8\xec\xa10\r\x06\t*\x86H\x86\xf7\r\x01\x01\x0b\x05\x00\x03\x82\x01\x01\x00\xdd3\xd7\x11\xf3cX8\xdd\x18\x15\xfb\tU\xbevV\xb9pH\xa5iG\'{\xc2$\x08\x92\xf1Z\x1fJ\x12)7$tQ\x1cbh\xb8\xcd\x95pg\xe5\xf7\xa4\xbcN(Q\xcd\x9b\xe8\xae\x87\x9d\xea\xd8\xbaZ\xa1\x01\x9a\xdc\xf0\xddj\x1dj\xd8>W#\x9e\xa6\x1e\x04b\x9a\xff\xd7\x05\xca\xb7\x1f?\xc0\nH\xbc\x94\xb0\xb6eb\xe0\xc1T\xe5\xa3*\xad \xc4\xe9\xe6\xbb\xdc\xc8\xf6\xb5\xc32\xa3\x98\xccw\xa8\xe6ye\x07+\xcb(\xfe:\x16R\x81\xceR\x0c._\x83\xe8\xd5\x063\xfbwl\xce@\xea2\x9e\x1f\x92\\A\xc1tl[]\n_3\xccM\x9f\xac8\xf0/{,b\x9d\xd9\xa3\x91o%\x1b/\x90\xb1\x19F=\xf6~\x1b\xa6z\x87\xb9\xa3zm\x18\xfa%\xa5\x91\x87\x15\xe0\xf2\x16/X\xb0\x06/,h&\xc6K\x98\xcd\xda\x9f\x0c\xf9\x7f\x90\xedCJ\x12DNosz(\xea\xa4\xaan{L}\x87\xdd\xe0\xc9\x02D\xa7\x87\xaf\xc34[\xb4B'
2016-10-13 12:22:32,719:DEBUG:acme.client:Received response <Response [200]> (headers: {'Content-Length': '1174', 'Expires': 'Thu, 13 Oct 2016 12:22:32 GMT', 'Boulder-Request-Id': '30EhU48KpPpx0QwqXJyzO3JBNq0fwDtfNsxQs8b3wRE', 'Strict-Transport-Security': 'max-age=604800', 'Server': 'nginx', 'Connection': 'keep-alive', 'Pragma': 'no-cache', 'Cache-Control': 'max-age=0, no-cache, no-store', 'Date': 'Thu, 13 Oct 2016 12:22:32 GMT', 'X-Frame-Options': 'DENY', 'Content-Type': 'application/pkix-cert', 'Replay-Nonce': 'B0XP14kVbGACHihbmrZBoNNJmMt5X-wNAyEiJuH00IU'}): '0\x82\x04\x920\x82\x03z\xa0\x03\x02\x01\x02\x02\x10\n\x01AB\x00\x00\x01S\x85sj\x0b\x85\xec\xa7\x080\r\x06\t*\x86H\x86\xf7\r\x01\x01\x0b\x05\x000?1$0"\x06\x03U\x04\n\x13\x1bDigital Signature Trust Co.1\x170\x15\x06\x03U\x04\x03\x13\x0eDST Root CA X30\x1e\x17\r160317164046Z\x17\r210317164046Z0J1\x0b0\t\x06\x03U\x04\x06\x13\x02US1\x160\x14\x06\x03U\x04\n\x13\rLet\'s Encrypt1#0!\x06\x03U\x04\x03\x13\x1aLet\'s Encrypt Authority X30\x82\x01"0\r\x06\t*\x86H\x86\xf7\r\x01\x01\x01\x05\x00\x03\x82\x01\x0f\x000\x82\x01\n\x02\x82\x01\x01\x00\x9c\xd3\x0c\xf0Z\xe5.G\xb7r]7\x83\xb3hc0\xea\xd75&\x19%\xe1\xbd\xbe5\xf1p\x92/\xb7\xb8KA\x05\xab\xa9\x9e5\x08X\xec\xb1*\xc4h\x87\x0b\xa3\xe3u\xe4\xe6\xf3\xa7bq\xbay\x81`\x1f\xd7\x91\x9a\x9f\xf3\xd0xgq\xc8i\x0e\x95\x91\xcf\xfe\xe6\x99\xe9`<H\xcc~\xcaMw\x12$\x9dG\x1bZ\xeb\xb9\xec\x1e7\x00\x1c\x9c\xac{\xa7\x05\xea\xceJ\xeb\xbdA\xe56\x98\xb9\xcb\xfdm<\x96h\xdf#*B\x90\x0c\x86tg\xc8\x7f\xa5\x9a\xb8Ra\x14\x13?e\xe9\x82\x87\xcb\xdb\xfa\x0eV\xf6\x86\x89\xf3\x85?\x97\x86\xaf\xb0\xdc\x1a\xefk\r\x95\x16}\xc4+\xa0e\xb2\x99\x046u\x80k\xacJ\xf3\x1b\x90Ix/\xa2\x96O* %)\x04\xc6t\xc0\xd01\xcd\x8f18\x95\x16\xba\xa83\xb8C\xf1\xb1\x1f\xc30\x7f\xa2y1\x13=-6\xf8\xe3\xfc\xf23j\xb991\xc5\xaf\xc4\x8d\r\x1dd\x163\xaa\xfa\x84)\xb6\xd4\x0b\xc0\xd8}\xc3\x93\x02\x03\x01\x00\x01\xa3\x82\x01}0\x82\x01y0\x12\x06\x03U\x1d\x13\x01\x01\xff\x04\x080\x06\x01\x01\xff\x02\x01\x000\x0e\x06\x03U\x1d\x0f\x01\x01\xff\x04\x04\x03\x02\x01\x860\x7f\x06\x08+\x06\x01\x05\x05\x07\x01\x01\x04s0q02\x06\x08+\x06\x01\x05\x05\x070\x01\x86&http://isrg.trustid.ocsp.identrust.com0;\x06\x08+\x06\x01\x05\x05\x070\x02\x86/http://apps.identrust.com/roots/dstrootcax3.p7c0\x1f\x06\x03U\x1d#\x04\x180\x16\x80\x14\xc4\xa7\xb1\xa4{,q\xfa\xdb\xe1K\x90u\xff\xc4\x15`\x85\x89\x100T\x06\x03U\x1d \x04M0K0\x08\x06\x06g\x81\x0c\x01\x02\x010?\x06\x0b+\x06\x01\x04\x01\x82\xdf\x13\x01\x01\x01000.\x06\x08+\x06\x01\x05\x05\x07\x02\x01\x16"http://cps.root-x1.letsencrypt.org0<\x06\x03U\x1d\x1f\x0450301\xa0/\xa0-\x86+http://crl.identrust.com/DSTROOTCAX3CRL.crl0\x1d\x06\x03U\x1d\x0e\x04\x16\x04\x14\xa8Jjc\x04}\xdd\xba\xe6\xd19\xb7\xa6Ee\xef\xf3\xa8\xec\xa10\r\x06\t*\x86H\x86\xf7\r\x01\x01\x0b\x05\x00\x03\x82\x01\x01\x00\xdd3\xd7\x11\xf3cX8\xdd\x18\x15\xfb\tU\xbevV\xb9pH\xa5iG\'{\xc2$\x08\x92\xf1Z\x1fJ\x12)7$tQ\x1cbh\xb8\xcd\x95pg\xe5\xf7\xa4\xbcN(Q\xcd\x9b\xe8\xae\x87\x9d\xea\xd8\xbaZ\xa1\x01\x9a\xdc\xf0\xddj\x1dj\xd8>W#\x9e\xa6\x1e\x04b\x9a\xff\xd7\x05\xca\xb7\x1f?\xc0\nH\xbc\x94\xb0\xb6eb\xe0\xc1T\xe5\xa3*\xad \xc4\xe9\xe6\xbb\xdc\xc8\xf6\xb5\xc32\xa3\x98\xccw\xa8\xe6ye\x07+\xcb(\xfe:\x16R\x81\xceR\x0c._\x83\xe8\xd5\x063\xfbwl\xce@\xea2\x9e\x1f\x92\\A\xc1tl[]\n_3\xccM\x9f\xac8\xf0/{,b\x9d\xd9\xa3\x91o%\x1b/\x90\xb1\x19F=\xf6~\x1b\xa6z\x87\xb9\xa3zm\x18\xfa%\xa5\x91\x87\x15\xe0\xf2\x16/X\xb0\x06/,h&\xc6K\x98\xcd\xda\x9f\x0c\xf9\x7f\x90\xedCJ\x12DNosz(\xea\xa4\xaan{L}\x87\xdd\xe0\xc9\x02D\xa7\x87\xaf\xc34[\xb4B'
2016-10-13 12:22:32,748:DEBUG:certbot.storage:Writing new private key to /etc/letsencrypt/archive/xxxxxxxx/privkey2.pem.
2016-10-13 12:22:32,748:DEBUG:certbot.storage:Writing certificate to /etc/letsencrypt/archive/xxxxxxx/cert2.pem.
2016-10-13 12:22:32,748:DEBUG:certbot.storage:Writing chain to /etc/letsencrypt/archive/xxxxxxx/chain2.pem.
2016-10-13 12:22:32,749:DEBUG:certbot.storage:Writing full chain to /etc/letsencrypt/archive/xxxxxxx/fullchain2.pem.
2016-10-13 12:22:33,992:DEBUG:certbot.storage:Writing new config /etc/letsencrypt/renewal/xxxxxxx.conf.new.
2016-10-13 12:22:34,002:DEBUG:certbot.reporter:Reporting to user: Congratulations! Your certificate and chain have been saved at /etc/letsencrypt/live/connessionevpn.info/fullchain.pem. Your cert will expire on 2017-01-11. To obtain a new or tweaked version of this certificate in the future, simply run letsencrypt-auto again. To non-interactively renew *all* of your certificates, run "letsencrypt-auto renew"
2016-10-13 12:22:34,002:DEBUG:certbot.reporter:Reporting to user: If you like Certbot, please consider supporting our work by:

[Zane]

Stai cercando di usare un virtualhost con HTTPS ma ancora non hai ottenuto i file con let's encrypt.

Modifica <VirtualHost *:443> e fallo diventare <VirtualHost *:80>, poi riavvia Apache e riprendi dal Passo 5.

Edit: dal log che hai postato vedo che hai già ottenuto il certificato. Ripeti la procedura dal Passo 6.

[connessionevpn]

tutto perfetto fino al passo 8
al passo 9 apache mi da errore ma come faccio il copia e incolla della pagina
service apache2 restart
* Restarting web server apache2 Action 'start' failed.
The Apache error log may have more information.

[Thu Oct 13 16:14:24.458682 2016] [ssl:emerg] [pid 14282] AH02240: Server should be SSL-aware but has no certificate configured [Hint: SSLCertificateFile] ((null):0)
[Thu Oct 13 16:14:24.459175 2016] [ssl:emerg] [pid 14282] AH02312: Fatal error initialising mod_ssl, exiting.

[connessionevpn]

perfetto punto 9 sembra che abbia risolto ho eliminato nella cartella etc/apache2/default-ssl.conf
e finalmante mi fa ok sulla service apache2 restart

[connessionevpn]

è andato tutto bene ma su i dispositivi android il certificato non lo accetta suggerimenti ?

[Zane]

Ottimo, grazie per avermi aggiornato!

Non saprei dirti per Android: in questo momento sto usando Chrome su Android 5.1 e il certificato viene riconosciuto correttamente. Forse non funziona con il vecchio browser "stock" di Android? in tal caso, il browser stock non è più distribuito come componente di Android da almeno due versioni...

[connessionevpn]

Grazie della celere risposta
Android e nuovo e anche io uso google crome, i certificati che ho messo nel virtual host 443


SSLCertificateKeyFile /etc/letsencrypt/live/NOME-SITO/privkey.pem
SSLCertificateFile /etc/letsencrypt/live/NOME-SITOfull/chain.pem


Se, aggiungo qualsiasi altro certificato apache2 parte con errore

[Zane]

Direi che stai facendo confusione con la corretta configurazione per la tua versione di Apache. Vedi articolo, passo 11

[connessionevpn]

Output of config test was:
AH00526: Syntax error on line 41 of /etc/apache2/sites-enabled/default-ssl.conf:
SSLCertificateFile takes one argument, SSL Server Certificate file ('/path/to/file' - PEM or DER encoded)
Action 'configtest' failed.
The Apache error log may have more information.

questo e l'errore che mi da ti ripeto con windows e mac nessun problema solo con android

[connessionevpn]

sembra che finalmente funziona
il mio errore erra davvero banale è tu mi hai aperto gli occhi

[Zane]

Complimenti! Mi fa piacere!

[connessionevpn]

ho cantato vittoria troppo presto https esce verde è già un grande risparmio è non so davvero come ringraziarti
<IfModule !headers_module>

LoadModule headers_module modules/mod_headers.so

</IfModule>

Header always set Strict-Transport-Security "max-age=15768000;"

Aprimi gli occhi lo metto ma mi da il problema di apache2 che non parte

[connessionevpn]

apache2: Syntax error on line 219 of /etc/apache2/apache2.conf: Syntax error on line 30 of /etc/apache2/sites-enabled/default-ssl.conf: Cannot load modules/mod_headers.so into server: /etc/apache2/modules/mod_headers.so: cannot open shared object file: No such file or directory

mi perdo di nuovo :-)

[connessionevpn]

APPOSTO RISOLTO
ECCO COME :
#
BrowserMatch "MSIE [2-6]" \
nokeepalive ssl-unclean-shutdown \
downgrade-1.0 force-response-1.0
# MSIE 7 and newer should be able to use keepalive
BrowserMatch "MSIE [17-9]" ssl-unclean-shutdown
CustomLog ${APACHE_LOG_DIR}/access.log combined


METTENDO QUESTE FILE SU
SSLEngine on

[SES]

Può funzionare con Nginx al posto di Apache?

[Zane]

@SES: sì, funziona alla grande anche con Nginx! Approfondirò in un articolo futuro. Nel frattempo, ti lascio la config che uso su un altro server che monta appunto Nginx:

Codice: Seleziona tutto

server {
	....
	ssl_certificate /etc/letsencrypt/live/zane.it/fullchain.pem;
	ssl_certificate_key /etc/letsencrypt/live/zane.it/privkey.pem;
	ssl_trusted_certificate /etc/letsencrypt/live/zane.it/cert.pem;
	.....
}

[superpisu]

Salve ragazzi,
ho seguito la vostra guida ed è andato tutto ok, complimenti a voi per la chiarezza.
Oggi ho visto che avete aggiornato la guida scegliendo il comando certbot invece in precedenza installavate python poi il client git e anche lanciavate il comando sudo /opt/letsencrypt/letsencrypt-auto

Cosa cambia con certbot, perché avete diciamo cambiato strada? Ci sono dei pro o dei contro nell'uso della prima tecnica o della seconda?
Io ho provato anche il comando certbot, seguendo sempre la vostra guida dall'inizio e facendo sudo yum install certbot, ma mi dice sempre che il comando non è stato trovato. Mi manca qualche passaggio? Io ho centos 6.8

Grazie mille e buon lavoro

[Zane]

Ciao superpisu,
sono felice che la guida ti sia stata utile.

Ho aggiornato suggerendo l'uso dei repo perché, in generale, è il modo più corretto di installare software sotto Linux. Per il resto, nulla cambia: letsencrypt-auto è semplicemente il primissimo nome del comando, prima che decidessero di rinominarlo in certbot. Puoi usare l'uno o l'altro indifferentemente.

Ti confermo che sotto CentOS 6.x non è supportata l'installazione tramite yum. Grazie per averlo segnalato. Procedo immediatamente ad inserire qualche precisazione nell'articolo.

[superpisu]

Ciao Zane, ci mancherebbe, grazie a voi e buon lavoro

[pat2]

ottima guida. grazie.

funziona tutto. adesso sono certificato A+. Prima con il certificato che mi creavo autonomamante dovevo aggiungere una eccezione al browser.
lo utilizzavo per zoneminder. dovendo accedere solo io non era un problema.
adesso avendo un certificato emesso da una CA (a costo nullo!!) ho aggiunto il protocollo HTTPS al mio sito web.
e quindi anche HSTS.

ho trovato 3 note::

1. per HSTS, prima bisogna abilitare headers con sudo a2enmod headers

2. a me sudo certbot renew --dry-run funziona, non mi e' chiaro se certbot procede autonomamente all'aggiornamento del certificato

3. non essendo chiaro con crontab ho fatto (attenzione sul sito non e' corretto: deve essere >> 2 volte segno maggiore):

sudo su
crontab -e
0 8 * * sat sudo certbot renew && sudo service apache2 restart >> /var/log/letsencrypt/log_rinnovo_automatico.txt 2>&1


e funziona testato.
ciao e grazie ottima guida,

[Zane]

@pat2: grazie di cuore per i tuoi spunti! Integro i tuoi suggerimenti al prossimo aggiornamento dell'articolo, che spero di fare nelle prossime settimane.