Arquivos

• /etc/nginx/ssl/exemplo.com.br/exemplo.com.br.key (KEY)
• /etc/nginx/ssl/exemplo.com.br/exemplo.com.br.fullchain.crt (CRT + CA Bundle concatenados)

Blocos de servidor

server {
  listen 80;
  server_name exemplo.com.br www.exemplo.com.br;
  return 301 https://exemplo.com.br$request_uri;
}

server {
  listen 443 ssl http2;
  server_name exemplo.com.br www.exemplo.com.br;

  ssl_certificate     /etc/nginx/ssl/exemplo.com.br/exemplo.com.br.fullchain.crt;
  ssl_certificate_key /etc/nginx/ssl/exemplo.com.br/exemplo.com.br.key;

  root /var/www/exemplo;
  index index.html index.php;

  # Cabeçalhos de segurança - exemplos
  add_header X-Content-Type-Options nosniff always;
  add_header X-Frame-Options SAMEORIGIN always;
  add_header Referrer-Policy no-referrer-when-downgrade always;
}

Recarregar e testar

nginx -t && systemctl reload nginx
openssl s_client -connect exemplo.com.br:443 -servername exemplo.com.br -showcerts </dev/null | openssl x509 -noout -subject -issuer -dates

Dicas

• Use o fullchain no ssl_certificate (CRT + cadeia).
• Habilite HTTP/2 para melhor performance.