Cách Cấu Hình SSL Miễn Phí Cho NodeJS Docker Trên VPS Chuẩn Nhất

sudo apt update
sudo apt install -y docker.io docker-compose-plugin
sudo systemctl enable docker
sudo systemctl start docker

ping example.com

project/
├─ app/
│  ├─ Dockerfile
│  ├─ package.json
│  └─ server.js
├─ nginx/
│  └─ default.conf
└─ docker-compose.yml

Docker hóa app NodeJS

File app/Dockerfile:

FROM node:20-alpine

WORKDIR /usr/src/app

COPY package*.json ./
RUN npm install --production

COPY . .

EXPOSE 3000

CMD ["node", "server.js"]

File app/server.js demo:

const express = require('express');
const app = express();

app.get('/', (req, res) => {
  res.send('Hello HTTPS from NodeJS + Docker + VPS');
});

app.listen(3000, () => {
  console.log('App running on port 3000');
});

Điểm cần nhớ:

– App chỉ cần listen 3000
– Không cần mở public port app ra Internet
– Chỉ Nginx public 80/443

Cấu hình Nginx reverse proxy

File nginx/default.conf:

server {
    listen 80;
    server_name example.com www.example.com;

location /.well-known/acme-challenge/ {
        root /var/www/certbot;
    }

location / {
        return 301 https://$host$request_uri;
    }
}

server {
    listen 443 ssl;
    server_name example.com www.example.com;

ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

location / {
        proxy_pass http://node-app:3000;
        proxy_http_version 1.1;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

Ý nghĩa:

– Port 80 → phục vụ challenge cho Let’s Encrypt, sau đó redirect HTTPS
– Port 443 → dùng chứng chỉ SSL
– proxy_pass http://node-app:3000 → trỏ đến service Docker tên node-app

Cấu hình Docker Compose

File docker-compose.yml:

version: '3.8'

services:
  node-app:
    build: ./app
    container_name: node-app
    restart: always
    expose:
      - "3000"

nginx:
    image: nginx:latest
    container_name: nginx
    restart: always
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./nginx/default.conf:/etc/nginx/conf.d/default.conf
      - ./certbot/www:/var/www/certbot
      - ./certbot/conf:/etc/letsencrypt
    depends_on:
      - node-app

certbot:
    image: certbot/certbot
    container_name: certbot
    volumes:
      - ./certbot/www:/var/www/certbot
      - ./certbot/conf:/etc/letsencrypt

Lưu ý quan trọng:

– ./certbot/conf → nơi lưu cert bền vững
– ./certbot/www → nơi ACME challenge dùng chung giữa Nginx và Certbot

Xin chứng chỉ SSL miễn phí từ Let’s Encrypt

Lần đầu, chưa có cert, nếu Nginx cố load file SSL chưa tồn tại → fail. Cách xử lý gọn:

Bước 1: Tạm chạy Nginx chỉ với HTTP

Tạm comment block server port 443 trong nginx/default.conf, giữ block 80.

Khởi động:

docker compose up -d nginx node-app

Bước 2: Chạy Certbot để xin cert

docker compose run --rm certbot certonly --webroot --webroot-path=/var/www/certbot -d example.com -d www.example.com --email [email protected] --agree-tos --no-eff-email

Nếu thành công, cert nằm ở:

./certbot/conf/live/example.com/

Bước 3: Bật lại cấu hình HTTPS

Khôi phục block 443 trong nginx/default.conf, rồi reload:

docker compose restart nginx

Test:

– http://example.com → redirect https://example.com
– Trình duyệt hiện khóa bảo mật → ok

Tự động gia hạn chứng chỉ

Cert Let’s Encrypt hết hạn sau 90 ngày. Không auto renew → vài tháng sau site chết HTTPS.

Test renew:

docker compose run --rm certbot renew --webroot --webroot-path=/var/www/certbot

Nếu ok, thêm cron trên VPS:

crontab -e

Thêm dòng:

0 3   * cd /path/to/project && docker compose run --rm certbot renew --webroot --webroot-path=/var/www/certbot && docker compose restart nginx

Giải thích:

– 3h sáng mỗi ngày chạy renew
– Certbot chỉ gia hạn khi gần hết hạn
– Sau renew → restart Nginx để load cert mới

Nếu muốn sạch hơn → dùng nginx -s reload thay restart, nhưng restart đủ dùng đa số case.

Tối ưu thêm cho production

Sau khi chạy ổn, nên bổ sung:

Bật bảo mật header cơ bản

Trong block 443:

add_header X-Frame-Options SAMEORIGIN;
add_header X-Content-Type-Options nosniff;
add_header Referrer-Policy strict-origin-when-cross-origin;

Xử lý app Express phía sau proxy

Nếu dùng Express, thêm:

app.set('trust proxy', 1);

Cần khi:

– dùng secure cookie
– đọc protocol thật qua X-Forwarded-Proto
– auth/session chạy sau reverse proxy

Không publish port app

Tránh kiểu:

ports:
  - "3000:3000"

Không cần. expose đủ. Public thẳng app → tăng bề mặt tấn công.

Lỗi hay gặp

Domain chưa trỏ đúng IP

certbot fail → thường do DNS sai. Kiểm tra:

nslookup example.com

Port 80 bị chặn

Let’s Encrypt dùng HTTP challenge → port 80 phải truy cập được. Nếu firewall/UFW/cloud security group chặn → xin cert fail.

Mở port:

sudo ufw allow 80
sudo ufw allow 443

Nginx báo không tìm thấy file cert

Nguyên nhân:

– chưa chạy certbot
– sai domain trong path
– mount volume sai

Kiểm tra:

ls ./certbot/conf/live/example.com/

Redirect loop HTTP/HTTPS

Thường do app cũng tự ép HTTPS, trong khi Nginx đã làm việc đó. Fix:

– để Nginx quản redirect chính
– app tin proxy qua app.set('trust proxy', 1)

Kết luận

Cấu hình SSL miễn phí cho NodeJS bằng Docker trên VPS không khó nếu đi đúng kiến trúc:

– NodeJS → chạy app
– Nginx → reverse proxy, terminate SSL
– Certbot + Let’s Encrypt → cấp/gia hạn cert miễn phí

Lợi ích rất rõ:

– site chuyên nghiệp hơn
– dữ liệu mã hóa an toàn hơn
– dễ tích hợp dịch vụ ngoài
– sẵn sàng production đúng chuẩn hơn

Nếu mới bắt đầu, hãy giữ setup đơn giản: 1 app NodeJS, 1 Nginx, 1 Certbot, 1 domain. Khi đã quen, bạn có thể mở rộng sang nhiều domain, nhiều app, wildcard cert, hoặc dùng giải pháp tự động như Traefik/Caddy. Nhưng nền tảng vẫn vậy: tách app khỏi SSL layer để dễ vận hành, dễ debug, dễ scale.

Nếu triển khai thực tế, lời khuyên cuối: test kỹ 3 thứ sau mỗi lần deploy:

– http -> https redirect đúng
– cert còn hạn
– app nhận đúng IP/protocol gốc qua proxy

Làm tốt 3 điểm đó → hệ thống HTTPS của bạn sẽ ổn định, an toàn, ít phải chữa cháy.