Реализация HTTPS для PHP приложений: от разработки до продакшена

Как использовать встроенный сервер PHP для разработки с HTTPS?

Для локальной разработки часто требуется тестировать HTTPS. Встроенный сервер PHP (php -S) не поддерживает SSL напрямую, но можно обернуть его через reverse proxy с Nginx или использовать самоподписанный сертификат с помощью stunnel или socat.

# Генерация самоподписанного сертификата
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes -subj "/CN=localhost"

# Запуск PHP сервера на фоне (порт 8080)
php -S 0.0.0.0:8080 -t /var/www/html &

# Прокси через socat (порт 443 на 8080)
sudo socat OPENSSL-LISTEN:443,cert=cert.pem,key=key.pem,verify=0,fork TCP:localhost:8080

Теперь обращение по https://localhost будет направлено на PHP-сервер. В браузере появится предупреждение о самоподписанном сертификате - для разработки это приемлемо.

Какие альтернативы существуют для сервера Nginx с PHP-FPM?

Nginx часто используется как frontend-сервер с передачей запросов PHP через FastCGI. Настройка HTTPS здесь аналогична Apache, но конфигурация отличается.

# Пример server block для HTTPS (файл /etc/nginx/sites-available/example.com)
server {
    listen 443 ssl http2;
    server_name example.com www.example.com;

    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    # Рекомендуемые настройки безопасности
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:...';

    root /var/www/example.com;
    index index.php index.html;

    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }

    location ~ \.php$ {
        fastcgi_pass unix:/var/run/php/php8.1-fpm.sock;
        fastcgi_index index.php;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        include fastcgi_params;
    }
}

# Перенаправление HTTP → HTTPS
server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$server_name$request_uri;
}

Для автоматического получения сертификата используйте certbot --nginx.

Как реализовать HTTPS только для PHP-части через reverse proxy?

Иногда PHP-приложение запущено на внутреннем сервере без SSL, а терминация TLS выполняется на пограничном прокси (например, HAProxy, пограничный Nginx). Этот подход упрощает управление сертификатами и позволяет централизованно применять политики безопасности.

# Пример HAProxy frontend с SSL
frontend https_front
    bind *:443 ssl crt /etc/ssl/example.pem
    default_backend php_back

backend php_back
    server php1 127.0.0.1:8080 check

В PHP-коде необходимо отслеживать заголовок X-Forwarded-Proto, чтобы приложение знало о протоколе и не выдавало смешанный контент.

// В PHP реализация проверки HTTPS через заголовки прокси
function isHttps() {
    if (isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on') return true;
    if (isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https') return true;
    return false;
}