วิธีติดตั้ง SSL ฟรี Let's Encrypt ใน Plesk (มีภาพประกอบทีละขั้น)
Let’s Encrypt คือผู้ออกใบรับรอง SSL/TLS ฟรีที่เบราว์เซอร์ทุกตัวเชื่อถือ และ Plesk ติดตั้งให้ได้ในไม่กี่คลิก พร้อมต่ออายุให้อัตโนมัติ บทความนี้พาทำทีละขั้นพร้อมภาพประกอบ ตั้งแต่เช็ค DNS ก่อนขอใบรับรอง เลือกตัวเลือกให้ครอบคลุม www/webmail/mail ไปจนถึงบังคับ HTTPS และแก้ปัญหาที่เจอบ่อย
ทำไมเว็บไซต์ต้องมี SSL (HTTPS)
- เข้ารหัสข้อมูล: ข้อมูลระหว่างเบราว์เซอร์กับเซิร์ฟเวอร์ (รหัสผ่าน ฟอร์มติดต่อ ข้อมูลสั่งซื้อ) ถูกเข้ารหัส คนกลางดักอ่านหรือแก้ไขระหว่างทางไม่ได้ (Man-in-the-Middle)
- ยืนยันว่าเป็นเว็บจริง: ใบรับรองผูกกับชื่อโดเมน ผู้เข้าชมจึงมั่นใจว่ากำลังคุยกับเซิร์ฟเวอร์ของโดเมนนั้นจริง
- ไม่ขึ้นคำเตือน “Not secure”: เบราว์เซอร์สมัยใหม่เตือนทุกหน้าที่เป็น HTTP ทำให้ลูกค้าไม่กล้ากรอกข้อมูล
- ดีต่อ SEO: Google ใช้ HTTPS เป็นหนึ่งในสัญญาณจัดอันดับ และฟีเจอร์ใหม่ของเบราว์เซอร์หลายอย่างใช้ได้เฉพาะบน HTTPS
Let’s Encrypt ออกใบรับรองแบบ Domain Validation (DV) ฟรี การเข้ารหัสเทียบเท่าใบรับรองแบบเสียเงิน ต่างกันที่ไม่มีการยืนยันตัวตนองค์กร (OV/EV) และไม่มีประกัน (warranty)
สิ่งที่ต้องเตรียมก่อนขอใบรับรอง
- โดเมนต้องชี้มาที่เซิร์ฟเวอร์ Plesk แล้ว — A record (และ www) ต้องเป็น IP ของเซิร์ฟเวอร์ที่โฮสต์เว็บ เพราะ Let’s Encrypt จะเข้ามาตรวจไฟล์ยืนยันที่
http://โดเมน/.well-known/acme-challenge/ผ่านพอร์ต 80 ถ้าเพิ่งย้ายโดเมน ให้รอ DNS กระจายตัวก่อน - ถ้ามี AAAA record (IPv6) ต้องชี้มาที่เซิร์ฟเวอร์เดียวกันด้วย ถ้าเซิร์ฟเวอร์ไม่ได้ใช้ IPv6 ให้ลบ AAAA ออก ไม่งั้นการตรวจสอบอาจล้มเหลว
- พอร์ต 80 ต้องเปิด ไม่ถูก firewall บล็อก (การตรวจแบบ HTTP-01 ทำได้บนพอร์ต 80 เท่านั้น)
- ถ้าใช้ Cloudflare: ให้ตั้ง SSL/TLS mode เป็น Full (strict) ถ้าขอใบรับรองไม่ผ่านขณะเปิด proxy (เมฆสีส้ม) ให้สลับ record ของโดเมนหลักและ www เป็น DNS only (เมฆสีเทา) ชั่วคราว ขอใบรับรองให้เสร็จแล้วค่อยเปิด proxy กลับ
เช็คว่าโดเมนชี้มาที่ IP ไหนได้ด้วยคำสั่งนี้ (บน Windows ใช้ nslookup แทน) ผลลัพธ์ต้องตรงกับ IP ของโฮสติ้งที่เห็นในหน้า Websites & Domains
dig +short A example.com
dig +short A www.example.com
dig +short AAAA example.comขั้นตอนติดตั้ง SSL Let’s Encrypt ใน Plesk
ใน Plesk Obsidian หน้าจัดการใบรับรองขับเคลื่อนด้วยส่วนขยาย SSL It! ซึ่งติดตั้งมาให้แล้ว โดยมีส่วนขยาย Let’s Encrypt ทำงานเป็นปลั๊กอินเบื้องหลัง (ตั้งแต่ Plesk Obsidian 18.0.22 ต้องออกใบรับรอง Let’s Encrypt ผ่าน SSL It! เท่านั้น) ภาพหน้าจอด้านล่างถ่ายจากแผงควบคุมของ Dot Enterprise เองซึ่งใช้ Plesk Obsidian 18.0.80 ใน Plesk เวอร์ชันหรือธีมอื่นชื่อปุ่มและตำแหน่งอาจต่างเล็กน้อย แต่ลำดับขั้นเหมือนกัน
ขั้นที่ 1: เปิด Websites & Domains
ล็อกอินเข้า Plesk แล้วคลิก Websites & Domains ที่เมนูด้านซ้าย จะเห็นรายการโดเมนทั้งหมดในบัญชี คลิกโดเมนที่ต้องการเพื่อเปิดแท็บ Dashboard ของโดเมนนั้น
ขั้นที่ 2: เข้า SSL/TLS Certificates ของโดเมน
ในหน้า Dashboard ของโดเมน เลื่อนลงไปที่กลุ่ม Security แล้วคลิก SSL/TLS Certificates ใต้ชื่อเมนูจะมีป้ายบอกสถานะ เช่น “Webmail not secured” เมื่อยังมีบางส่วนของโดเมนที่ใบรับรองยังไม่ครอบคลุม
ขั้นที่ 3: เลือกใบรับรองฟรีจาก Let’s Encrypt
- โดเมนยังไม่มีใบรับรอง: หน้า SSL/TLS Certificates จะให้ติดตั้งใบรับรองได้ทันที คลิก Install ที่ตัวเลือก Let’s Encrypt แบบฟรี
- โดเมนมีใบรับรองอยู่แล้ว (เช่น ต้องการเพิ่ม www หรือ webmail): คลิก Reissue Certificate จะมีแผงชื่อ “Choose a product to issue a certificate” เปิดขึ้นมา ให้คลิก Install ใต้หัวข้อ “Install a free basic certificate provided by Let's Encrypt”
ในแผงเดียวกันยังมีตัวเลือก “Upload a certificate you already purchased” (ปุ่ม Upload .pem file) และ “Download or remove existing certificates” (ปุ่ม Manage)
ขั้นที่ 4: เลือกสิ่งที่ต้องการป้องกัน แล้วกด Get it free
ฟอร์ม Let’s Encrypt แจ้งไว้ว่า “The certificate will be automatically renewed 30 days in advance before its expiration.” (ใบรับรองจะต่ออายุอัตโนมัติล่วงหน้า 30 วันก่อนหมดอายุ) ติ๊กตัวเลือกตามหัวข้อถัดไป (ปกติเลือกโดเมน, www, webmail และ mail) ถัดลงไปใต้เช็คบ็อกซ์ที่ Domain validation method ให้ใช้ HTTP — a file on the website (http-01) ไว้ตามเดิม ยกเว้นกรณีขอ wildcard ซึ่งต้องเลือก DNS — a TXT record in the DNS zone (dns-01) จากนั้นคลิก Get it free Plesk จะขอใบรับรอง ยืนยันโดเมน และติดตั้งให้อัตโนมัติ ปกติใช้เวลาไม่ถึงนาที
ฟอร์มในแผงควบคุมของ Dot Enterprise ไม่มีช่องกรอกอีเมล แต่ Plesk บางระบบอาจให้กรอกอีเมลสำหรับรับแจ้งเตือนเรื่องใบรับรอง
อธิบายตัวเลือกในฟอร์ม Let’s Encrypt
| ตัวเลือก (ชื่อตามหน้าจอ Plesk) | ทำอะไร | ควรเลือกไหม |
|---|---|---|
| Secure the domain name | ป้องกันตัวโดเมนเอง เช่น example.com | เลือกเสมอ |
| Secure the wildcard domain (including www and webmail) | ออกใบรับรองแบบ *.example.com ครอบคลุม subdomain ทุกตัวระดับเดียว | เฉพาะกรณีจำเป็น — ดูเงื่อนไขด้านล่าง |
| Include a "www" subdomain for the domain and each selected alias | ใส่ www.example.com (และ www ของ alias ที่เลือก) ลงในใบรับรอง | เลือก — คนจำนวนมากพิมพ์ www นำหน้า |
| Secure webmail on this domain | ป้องกัน webmail.example.com ที่ใช้อ่านอีเมลผ่านเบราว์เซอร์ | เลือกถ้าใช้อีเมลบนโฮสติ้งนี้ |
| Secure mail on this domain | ใส่ mail.example.com ลงในใบรับรอง | เลือกถ้าใช้อีเมลบนโฮสติ้งนี้ |
| Assign the certificate to the mail domain | ใช้ใบรับรองนี้กับบริการอีเมล (IMAP, POP, SMTP) ของโดเมน โปรแกรมอีเมลจะไม่เตือนเรื่องใบรับรองไม่ตรงชื่อ | เลือกถ้าใช้อีเมลบนโฮสติ้งนี้ |
| DANE support (ตัวเลือกย่อยของข้อบน) | เพิ่ม TLSA record สำหรับบริการอีเมล | ไม่บังคับ — ปล่อยว่างไว้ถ้าไม่แน่ใจว่าต้องใช้ DANE |
เงื่อนไขของ wildcard: ใบรับรอง wildcard ต้องยืนยันผ่าน DNS (เลือก DNS — a TXT record in the DNS zone (dns-01) คือสร้าง TXT record ชื่อ _acme-challenge) เพราะการยืนยันผ่าน HTTP ใช้กับ wildcard ไม่ได้ Plesk จะทำให้อัตโนมัติก็ต่อเมื่อโดเมนใช้ DNS ของ Plesk (หรือ DNS ภายนอกที่ซิงก์กับ Plesk) เท่านั้น ถ้า DNS อยู่ที่อื่น เช่น Cloudflare ต้องเพิ่ม TXT record เองและต้องทำซ้ำทุกครั้งที่ต่ออายุ จึงไม่แนะนำ ถ้ามี subdomain ไม่กี่ตัว ใช้ใบรับรองแยกต่อ subdomain จะง่ายกว่า และ wildcard ครอบคลุมแค่ระดับเดียว (a.example.com ได้ แต่ a.b.example.com ไม่ได้)
Keep websites secured: ในหน้า SSL/TLS Certificates มีตัวเลือกนี้ เมื่อเปิดไว้ ถ้าภายหลังเพิ่ม subdomain, alias หรือ webmail ใหม่ SSL It! จะออกใบรับรอง Let’s Encrypt ใหม่ให้ครอบคลุมเอง ตัวเลือกนี้แสดงเป็น Disabled จนกว่าจะเปิดใช้
บังคับใช้ HTTPS และเปิด HSTS
หลังติดตั้งเสร็จ หน้า SSL/TLS Certificate for <โดเมนของคุณ> จะแสดงใบรับรอง Let’s Encrypt (“Entry-level protection”) วันที่ใน Valid To พร้อมข้อความ “Will be automatically renewed” ปุ่ม Reissue Certificate, Unassign Certificate, Advanced Settings และการ์ดใน Options แม้ติดตั้งใบรับรองแล้ว ผู้เข้าชมที่พิมพ์ http:// ยังเข้าเว็บแบบไม่เข้ารหัสได้ถ้าไม่ได้เปิด redirect แต่ต้องเปิดเว็บผ่าน https:// ได้ปกติก่อน
- Redirect from http to https: ส่งผู้เข้าชมจาก HTTP ไป HTTPS แบบถาวร (301) ซึ่งดีต่อ SEO ด้วย บน Plesk ที่ติดตั้งใหม่ตัวเลือกนี้เปิดเป็นค่าเริ่มต้นอยู่แล้ว (การ์ดแสดง Enabled)
- HSTS: สั่งให้เบราว์เซอร์จำว่าโดเมนนี้ต้องใช้ HTTPS เสมอตลอดระยะ Max-age ปลอดภัยขึ้น แต่ถ้าใบรับรองมีปัญหาในช่วงนั้น ผู้เข้าชมจะเข้าเว็บไม่ได้เลย ค่าเริ่มต้นเป็น Disabled ตอนเปิดใช้ให้เอาเครื่องหมายออกจาก Include subdomains / Include webmail ถ้าส่วนนั้นยังไม่มี SSL
- Keep websites secured: ดูแลให้ subdomain, alias และ webmail ที่เพิ่มใหม่มี SSL อัตโนมัติ (ดูด้านบน)
ถ้าเว็บอยู่หลัง Cloudflare แล้วเจอ ERR_TOO_MANY_REDIRECTS หลังเปิด redirect มักเป็นเพราะตั้ง Cloudflare เป็น Flexible ให้เปลี่ยนเป็น Full (strict)
ตรวจสอบว่า SSL ใช้งานได้
- ในหน้าใบรับรอง ดูส่วน Secured Components: Domain, Domain with the "www" prefix และ Webmail access ควรขึ้น Secured ทั้งหมด ถ้ามีรายการใดเป็น Not Secured ให้คลิก Reissue Certificate แล้วติ๊กตัวเลือกที่ขาด (ชื่ออื่นเพิ่มเติมอยู่ใน Show additional components to secure)
- เปิด
https://example.comในเบราว์เซอร์ ต้องเห็นไอคอนแม่กุญแจ/ไอคอนการเชื่อมต่อปลอดภัย และไม่มีคำเตือน คลิกดูรายละเอียดได้ว่าออกโดย Let’s Encrypt และหมดอายุเมื่อไร - ลองเปิด
http://example.comต้องถูกพาไป https:// อัตโนมัติ - คลิก Run SSL Labs Test ในหน้าใบรับรอง (หรือใช้ SSL Labs Server Test โดยตรง) เพื่อดูว่าใบรับรองครบ chain และครอบคลุมทุกชื่อ
หรือเช็คจาก command line ว่า HTTP ถูก redirect และ HTTPS ตอบปกติ:
curl -sI http://example.com | head -n 3
curl -sI https://example.com | head -n 1หากหน้าเว็บยังมีรูปหรือสคริปต์ที่โหลดผ่าน http:// (mixed content) แม่กุญแจอาจไม่แสดงครบ ต้องแก้ลิงก์ในเว็บให้เป็น https:// สำหรับ WordPress ดูวิธีเพิ่มเติมที่ ติดตั้ง SSL Let’s Encrypt สำหรับ WordPress ผ่าน Plesk
การต่ออายุใบรับรอง
- ใบรับรอง Let’s Encrypt ปัจจุบันมีอายุ 90 วัน และ SSL It! ต่ออายุให้อัตโนมัติ 30 วันก่อนหมดอายุ (ตามที่ระบุในฟอร์ม และหน้าใบรับรองแสดง “Will be automatically renewed”) ไม่ต้องทำอะไรเอง
- Let’s Encrypt ประกาศลดอายุใบรับรองลงเป็น 64 วัน (กำหนด 10 ก.พ. 2027) และ 45 วัน (กำหนด 16 ก.พ. 2028) เมื่อต่ออายุอัตโนมัติก็ไม่กระทบผู้ใช้ Plesk
- การต่ออายุใช้การตรวจสอบแบบเดียวกับตอนขอครั้งแรก ถ้าภายหลังย้าย DNS, เปิด Cloudflare proxy หรือเปลี่ยน IP แล้วการตรวจไม่ผ่าน ใบรับรองจะต่ออายุไม่ได้ ควรตรวจวันที่ Valid To และ Secured Components ในหน้า SSL/TLS Certificates เป็นระยะ
ปัญหาที่พบบ่อยและวิธีแก้
| อาการ / ข้อความ error | สาเหตุที่พบบ่อย | วิธีแก้ |
|---|---|---|
| Invalid response / 403 / 404 ตอนตรวจ challenge | A record ชี้ไปเซิร์ฟเวอร์อื่น หรือเว็บโหลดเนื้อหาจากที่อื่น | แก้ A record (และ www) ให้ชี้ IP ของเซิร์ฟเวอร์ Plesk รอ DNS อัปเดตแล้วลองใหม่ |
| Timeout during connect (likely firewall problem) | พอร์ต 80 ถูกปิด หรือ firewall บล็อก | เปิดพอร์ต 80 ขาเข้า (HTTP-01 ใช้พอร์ต 80 เท่านั้น) |
| DNS zone contains an AAAA record, but the domain is not assigned an IPv6 address | มี AAAA ชี้ไปที่อื่นหรือ IPv6 ที่เซิร์ฟเวอร์ไม่ได้ใช้ | ลบหรือแก้ AAAA record ให้ถูก กด “details” ใน error เพื่อดูสาเหตุจริงจาก Let’s Encrypt |
| ขอใบรับรองไม่ผ่านเมื่อใช้ Cloudflare | เปิด proxy (เมฆส้ม), โหมด Flexible, หรือ cache/WAF/captcha บล็อกเส้นทาง challenge | ตั้ง Full (strict), สลับเป็น DNS only ชั่วคราว, ยกเว้น /.well-known/acme-challenge/ จาก cache และกฎความปลอดภัย |
| CAA record prevents issuance | โดเมนมี CAA record ที่ไม่อนุญาต Let’s Encrypt | เพิ่ม CAA record ค่า 0 issue "letsencrypt.org" หรือลบ CAA ที่ไม่ใช้ |
| too many certificates / too many failed authorizations | ติด rate limit ของ Let’s Encrypt: ใบรับรองชุดชื่อเดิมได้ 5 ใบต่อ 7 วัน, ยืนยันล้มเหลวได้ 5 ครั้งต่อชื่อต่อชั่วโมง, 50 ใบต่อโดเมนหลักต่อ 7 วัน | หยุดกดซ้ำ แก้สาเหตุให้เสร็จก่อน แล้วรอให้โควตาคืน (ความล้มเหลวคืน 1 ครั้งทุก ~12 นาที) |
| ไม่มีตัวเลือก Let’s Encrypt / ขอใบรับรองไม่ได้ | ปิด SSL/TLS support ใน Hosting Settings ของโดเมน หรือ SSL It! ไม่ได้ติดตั้ง | เปิด SSL/TLS support ใน Hosting Settings หรือติดต่อผู้ดูแลเซิร์ฟเวอร์ |
| ตัวเลือก wildcard ขอไม่ผ่าน | DNS ของโดเมนไม่ได้อยู่ที่ Plesk | ย้าย DNS มาใช้ของ Plesk หรือเลือก www/subdomain ทีละชื่อแทน |
ตัวอย่าง CAA record ที่อนุญาตให้ Let’s Encrypt ออกใบรับรองได้ (ใส่ในหน้า DNS Settings):
example.com. CAA 0 issue "letsencrypt.org"คำถามที่พบบ่อย
Let’s Encrypt ต่างจาก SSL แบบเสียเงินอย่างไร?
การเข้ารหัสเท่ากัน ต่างกันที่ Let’s Encrypt ออกเฉพาะแบบ DV (ยืนยันว่าคุมโดเมนได้) ส่วนแบบเสียเงินมี OV/EV ที่ยืนยันตัวตนองค์กรและมีประกัน หากต้องการติดตั้งใบรับรองที่ซื้อมา ดู วิธีติดตั้ง SSL Certificate แบบ Custom ใน Plesk
ใช้กับ subdomain ได้ไหม?
ได้ โดยเปิด SSL/TLS Certificates ของ subdomain นั้นแล้วทำตามขั้นตอนเดียวกัน หรือใช้ wildcard ถ้า DNS อยู่ที่ Plesk
อยากให้หน้า login Plesk (พอร์ต 8443) มี SSL ด้วย?
เป็นการตั้งค่าระดับเซิร์ฟเวอร์ ดู การจัดการ SSL/TLS Certificates ระดับเซิร์ฟเวอร์บน Plesk
สรุป
การติดตั้ง SSL Let’s Encrypt ใน Plesk มีแค่ 4 ขั้น: Websites & Domains → SSL/TLS Certificates → Install → เลือกตัวเลือกแล้ว Get it free จุดสำคัญคือให้ DNS ชี้มาที่เซิร์ฟเวอร์ก่อน (ระวัง Cloudflare proxy) เลือก www/webmail/mail ให้ครบ เปิด Redirect from http to https แล้วปล่อยให้ Plesk ต่ออายุอัตโนมัติ
ต้องการโฮสติ้งที่มี Plesk และ SSL ฟรีพร้อมใช้ ดูแพ็กเกจ Secure Cloud Hosting ของ Dot Enterprise ได้เลย หากติดปัญหาตอนติดตั้ง ทีมงานของเราช่วยตั้งค่าให้ได้