Se il browser avvisa che la dashboard ZimaOS o le app sono “Non sicure”, separa innanzitutto la dashboard principale di ZimaOS dalle applicazioni che funzionano sulle proprie porte. La discussione originale ha infine stabilito che si tratta di due problemi HTTPS diversi.
ZimaOS può generare un certificato locale per https://zimaos.local. Considerare attendibile questo certificato può rimuovere l'avviso del browser per la dashboard ZimaOS. Ciò non abilita automaticamente HTTPS per Plex, Jellyfin, Emby, AdGuard o altre app Docker, perché si tratta di servizi HTTP separati. Per mettere molte app dietro nomi HTTPS attendibili, usa un proxy inverso come Nginx Proxy Manager o Caddy con certificati appropriati.
L'avviso originale del browser
Opzione 1: disabilita HTTPS per la dashboard ZimaOS locale
Zima-Giorgio ha risposto che HTTPS poteva essere disattivato nel pannello Impostazioni di ZimaOS. In una LAN privata attendibile, il semplice HTTP può eliminare gli avvisi relativi ai certificati, ma rimuove anche la cifratura del trasporto tra il browser e la dashboard.
Per laptop o dispositivi che passano da una rete all'altra, considerare attendibile il certificato di ZimaOS è solitamente preferibile all'indebolimento globale della sicurezza del browser.
Opzione 2: scarica e considera attendibile il certificato locale di ZimaOS
La risposta ufficiale consigliava di scaricare il file CRT generato e considerarlo attendibile sul client. Dopo aver configurato l'attendibilità, usa:
https://zimaos.local
Considerare attendibile il CRT di ZimaOS su Windows
La risposta originale forniva questa procedura per Windows:
- Premi
Win + R. - Esegui
certmgr.msc. - Apri Autorità di certificazione radice attendibili → Certificati.
- Scegli Tutte le attività → Importa.
- Seleziona il CRT scaricato dal tuo sistema ZimaOS.
- Inseriscilo in Autorità di certificazione radice attendibili.
- Riavvia il browser.
Fidati solo di un certificato ottenuto dalla tua istanza ZimaOS conosciuta. Installare un certificato radice significa considerarlo attendibile per convalidare le connessioni su quel client.
Perché il certificato di ZimaOS non protegge Jellyfin, Plex o Emby
In seguito l'autore originale ha importato correttamente il certificato su Pop!_OS e ha confermato che zimaos.local ha funzionato, ma Plex, Emby e Jellyfin continuavano a essere visualizzati come non sicuri.
Una risposta del 2026 ha spiegato il motivo: queste app sono in ascolto su servizi e porte separati. Gli esempi includono:
Jellyfin: http://ZIMAOS_IP:8096
Plex: http://ZIMAOS_IP:32400Non ereditano automaticamente il certificato della dashboard di ZimaOS. Questo comportamento è previsto e non dimostra che l'importazione del CRT non sia riuscita.
Usare un proxy inverso per HTTPS su più applicazioni
Per assegnare alle applicazioni nomi come:
https://jellyfin.example.com
https://emby.example.com
https://adguard.example.cominserire un proxy inverso davanti a essi. Il proxy gestisce i certificati TLS e poi inoltra ogni richiesta alla porta HTTP interna dell'applicazione.
Nginx Proxy Manager è attualmente disponibile nell'App Store di ZimaOS:
Nginx Proxy Manager per ZimaOS
Perché Nginx Proxy Manager segnala che le porte 80 o 443 sono già in uso
L'autore della fonte ha provato a installare un proxy e ha subito riscontrato un conflitto di porte. La documentazione attuale di Nginx Proxy Manager prevede queste porte standard:
80 → HTTP pubblico
443 → HTTPS pubblico
81 → interfaccia di amministrazione di NPMSe ZimaOS utilizza già le porte host 80 o 443, NPM non può associare contemporaneamente la stessa porta host.
Configurazione ufficiale di Nginx Proxy Manager
La porta 81 non è la destinazione HTTPS pubblica
Un utente successivo nella stessa discussione ha inoltrato le porte 80 e 443 del router alla porta interna 81. La community ha corretto questo errore:
Router 80 → porta NPM 80
Router 443 → porta NPM 443Porta 81 è l'interfaccia di amministrazione di NPM. Non dovrebbe ricevere il normale traffico pubblico del sito web.
Challenge HTTP vs challenge DNS
La discussione ha inoltre distinto due metodi di convalida di Let's Encrypt:
- Challenge HTTP: normalmente richiede che l'autorità di certificazione possa raggiungere il proxy tramite la porta 80.
- Challenge DNS: verifica il controllo del dominio tramite i record o l'API del provider DNS e può evitare la convalida in ingresso sulla porta 80.
Scegli intenzionalmente un metodo. Non combinare le impostazioni dei due approcci senza capire quale percorso di convalida sta utilizzando NPM.
Serve MySQL solo per eseguire Nginx Proxy Manager?
No. La configurazione attuale di Nginx Proxy Manager supporta SQLite per una semplice installazione in un singolo container. Un database esterno MySQL/MariaDB/PostgreSQL è facoltativo.
Questo corregge un'altra preoccupazione sollevata nella discussione originale: un principiante non deve distribuire MySQL solo per iniziare a usare un proxy inverso per alcuni servizi domestici.
Cambiare la porta web di ZimaOS comporta un compromesso
Più avanti nella discussione, un utente ha spostato ZimaOS dalla porta 80 e ha quindi potuto installare Nginx Proxy Manager. Tuttavia, segnalazioni separate della community nel 2026 indicano che la modifica della porta della dashboard di ZimaOS può interferire con il funzionamento del client desktop/mobile di Zima.
Quindi, “spostare ZimaOS dalla porta 80” non è una soluzione universale priva di rischi. Prima di modificarla, decidi cosa è più importante nel tuo ambiente:
- l’assegnazione standard delle porte 80/443 a un reverse proxy;
- oppure preservare il comportamento predefinito del client e del rilevamento di ZimaOS.
HTTPS solo locale vs HTTPS pubblico
Se utilizzi le applicazioni solo all’interno della tua abitazione:
- puoi mantenere HTTP diretto su una LAN affidabile;
- usa certificati considerati attendibili localmente;
- oppure esegui un reverse proxy interno e usa DNS interno.
Se vuoi usare HTTPS con accesso da Internet, utilizza un dominio, un’autenticazione efficace, certificati emessi correttamente e una progettazione consapevole dell’accesso remoto e della sicurezza. Non esporre le porte di amministrazione delle applicazioni o l’interfaccia di amministrazione di NPM solo per far comparire il lucchetto nel browser.
Checklist HTTPS di ZimaOS
- Decidi se l’avviso riguarda
zimaos.localo un’applicazione separata. - Per la dashboard di ZimaOS, scarica e considera attendibile il CRT generato se vuoi usare HTTPS localmente senza avvisi.
- Usa
https://zimaos.localdopo che il certificato è stato considerato attendibile. - Non aspettarti che il certificato CRT di ZimaOS protegga porte appartenenti ad app separate.
- Usa un reverse proxy per gli hostname HTTPS su più app.
- Verifica quale servizio occupa le porte 80 e 443 prima di installare NPM.
- Mantieni la porta 81 di NPM per l’amministrazione, non per inoltrare siti web pubblici.
- Scegli la convalida tramite HTTP o DNS in base alla tua rete.
- Non esporre servizi di amministrazione non necessari su Internet.
Domande frequenti su HTTPS di ZimaOS
Perché zimaos.local è sicuro ma Jellyfin usa ancora HTTP?
Perché il certificato di ZimaOS si applica al nome host della dashboard. Jellyfin è un servizio separato in ascolto sulla propria porta.
Un unico reverse proxy può proteggere tutte le mie app ZimaOS?
Può terminare HTTPS per più servizi HTTP, purché ogni host proxy sia configurato correttamente e il proxy possa raggiungere l’app di destinazione.
Perché Nginx Proxy Manager non può avviarsi sulla porta 443?
Un altro servizio è già associato a quella porta dell’host. La discussione originale ha riscontrato questo problema con ZimaOS e NPM in conflitto sulle porte web standard.
La porta 81 è quella a cui inoltrare il traffico HTTPS pubblico?
No. La porta 81 è l’interfaccia di amministrazione di NPM. Il traffico pubblico normale dovrebbe arrivare sulle porte 80 e 443.
