Preciso reiniciar o Nginx se renovar meus certificados de segurança?

Então, eu estou configurando um servidor nginx com SSL ativado com uma definição de servidor algo como:

server {
    listen :80;
    listen [::]:80;
    server_name example.org;
    root /foo/bar;

    ssl on;
    ssl_certificate /path/to/public/certificate;
    ssl_certificate_key /path/to/private/key;

    ...
}

Você entendeu (por favor, perdoe qualquer erro de digitação).

Enfim, o que eu quero saber é; se eu renovar meus certificados, existe uma maneira de instalá-los sem precisar reiniciar o nginx?

Por exemplo, se eu usasse links simbólicos /path/to/public/certificatee /path/to/private/key, apontando para o (s) meu (s) certificado (s) atual (is), ainda precisaria reiniciar nginxse eu simplesmente os alterasse para apontar para novos (renovados) certificados? Existem alternativas?

Sim, tenho certeza de que você precisaria recarregar o Nginx para que os certificados renovados exibissem a data de validade correta, mas uma simples limpeza de cache e navegação devem permitir que você visualize isso.

Ou, se você preferir cli, sempre poderá usar o antigo e confiável comando OpenSSL:

echo | openssl s_client -connect your.domain.com:443 | openssl x509 -noout -dates

Isso daria as datas atuais no certificado. No seu caso, a porta seria 80 em vez de 443.

Muitas vezes nginx -s reloadnão funciona como esperado. Em muitos sistemas (Debian, etc.), você precisaria usar /etc/init.d/nginx reload.

Você sempre pode especificar o arquivo de configuração diretamente se tudo mais falhar, por nginx -c /path/to/nginx.conf.

Ao receber, o SIGHUPnginx recarregará a configuração atualizada, verifique-a enquanto abre arquivos de log e lê certificados SSL e , em seguida, encerre normalmente os processos de trabalho que dependem da configuração anterior.

Se acontecer que o nginx não consegue ler alguns certificados SSL, continuarei executando com a configuração mais antiga. Em outras palavras, continuará funcionando e processando solicitações, independentemente do que você fez com seus arquivos de configuração. Mesmo se estiverem quebrados, seus sites ainda serão abertos.

Portanto, sim, você não precisa reiniciar o nginx e corre o risco de deixar o servidor offline por mais de alguns segundos, se desejar que o nginx veja certificados atualizados. Deve ser o suficiente para:

sudo service nginx reload

Na maioria das distribuições atuais com o systemd usado por padrão, você também pode recarregar o nginx com o seguinte comando:

sudo systemctl reload nginx