site.nginx

# Instrução para redirecionar acessos pela porta 80 (HTTP) para a porta HTTPS (443)
server {
        listen 80;
        server_name meusite.com.br;
        return 301 https://$server_name$request_uri;
}

# Neste caso, estou utilizando chaves SSL do letsencrypt que ficam normalmente armazenadas no diretório /etc/letsencrypt/live/<NOME-DO-SITE>

server {
        listen 443 ssl http2;
        server_name meusite.com.br;
        ssl on;
        ssl_certificate /etc/letsencrypt/live/meusite.com.br/fullchain.pem;
        ssl_certificate_key /etc/letsencrypt/live/meusite.com.br/privkey.pem;
        ssl_session_cache shared:SSL:20m;
        ssl_session_timeout 180m;
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
        ssl_prefer_server_ciphers on;
        ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
        ssl_dhparam /sites/keys/dhparam.pem;

        #A mágica acontece aqui:
        #no próximo bloco, fazemos as instruções paraque o NGINX solicite o certificado do cliente.
        #existem diversas opções para o ssl_verify_client, mas as 2 que você poderá utilizar são:
        # optional -> verifica se tem o certificado. Se não tiver, continua com o site funcionando sem apresentar tela de erro. Você poderá verificar na página PHP ou JS (nodejs) se o certificado foi validado e quais os dados do certificado e apresentar uma mensagem ao usuário informando se não foi possível validar o certificado.
        # on -> força o usuário a utilizar o certificado, apresentado a página de erro 400 Bad Request, com o texto 'No required SSL certificate was sent'. Você poderá fazer uma página custom mas acho que a opção 'optional' dá uma melhor experiência ao usuário.

        ssl_client_certificate /sites/CA/bundle.crt;
        ssl_verify_client optional;
        ssl_verify_depth 10;

        #localização dos arquivos do site + página inicial (index.php)
        root /sites/meusite.com.br/public;
        index index.php index.html index.htm;
        charset utf-8;

        #local onde é gravado os logs de erros
        error_log /var/log/nginx/meusite.com.br.error;

        #o meu NGINX tem o compactador brotli incluído na compilação custom. Se o seu NGINX não tem o brotli, remova a linha abaixo
        brotli_types text/plain text/css application/javascript application/json image/svg+xml application/xml+rss;

        #linha para processamento de arquivos PHP de sites tipo Laravel (que são o que estou utilizando no momento)
        location / {
             try_files $uri $uri/ /index.php$is_args$args;
        }

        error_page 404 /index.php;

        #as páginas PHP são processadas pelo PHP ou HipHop através da porta 9000. Se estiver utilizando o método de socket, troque o fastcgi_pass
        location ~ \.(php)$ {
                fastcgi_param  HTTP_ACCEPT_ENCODING      "";
                fastcgi_keep_conn on;
#               fastcgi_pass unix:/var/run/php7.0-fpm.sock;
                fastcgi_pass   127.0.0.1:9000;
                fastcgi_index  index.php;
        # aqui passamos os dados do certificado para o interpretador PHP
                fastcgi_param  SSL_CLIENT_S_DN $ssl_client_s_dn if_not_empty;
                fastcgi_param  SSL_CLIENT_VERIFY $ssl_client_verify if_not_empty;

                fastcgi_param  SCRIPT_FILENAME $document_root$fastcgi_script_name;
                include        fastcgi_params;
        }

        #se estiver utilizando um servidor nodejs, na url 'meusite.com.br/nodejs', aqui está a configuração:
        location /nodejs {
                proxy_set_header X-Real-IP $remote_addr;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                proxy_set_header Host $http_host;
                proxy_set_header X-NginX-Proxy true;
                proxy_set_header VERIFIED $ssl_client_verify;
                proxy_set_header DN $ssl_client_s_dn;

                proxy_pass http://127.0.0.1:3000;
                proxy_redirect off;
        }
}