Статьи об SSL-сертификатах

SSL решает несколько задач одновременно:

• Защита данных — логины, пароли, платёжная информация, персональные данные передаются в зашифрованном виде
• Доверие клиентов — браузеры показывают замок рядом с адресом, сайты без SSL помечаются как «небезопасные»
• SEO — Google и Яндекс учитывают HTTPS в ранжировании
• Требования браузеров — современные браузеры блокируют или предупреждают о HTTP-сайтах
• Соответствие 152-ФЗ — для сайтов, обрабатывающих персональные данные

В 2026 году HTTPS — стандарт для любого сайта. Без SSL теряются и клиенты, и позиции в поиске.

По уровню проверки:

• DV (Domain Validation) — проверяется только владение доменом. Выпускается за минуты. Подходит для блогов, лендингов, небольших сайтов
• OV (Organization Validation) — проверяется организация. Занимает 2–3 дня. Для корпоративных сайтов
• EV (Extended Validation) — расширенная проверка. 5–10 дней. Для финансовых и торговых площадок

По покрытию:

• Обычный (Single Domain) — один домен
• Wildcard — все поддомены (*.example.com)
• Multi-Domain (SAN) — несколько разных доменов в одном сертификате

В 2026 году коммерческие сертификаты, даже купленные на год, выпускаются максимум на 199 дней. Затем провайдер автоматически перевыпускает новый сертификат на оставшийся срок [citation:16].

Let's Encrypt — бесплатный DV-сертификат. Предоставляет такое же шифрование, как платные DV-сертификаты. Браузеры обрабатывают их одинаково [citation:17].

Различия:

• Срок действия — 90 дней у Let's Encrypt, до 199 дней у коммерческих [citation:1][citation:16]
• Автоматизация — Let's Encrypt обновляется автоматически через ACME-клиенты (Certbot)
• Валидация — только DV, без проверки организации
• Гарантии — нет юридической ответственности и поддержки

С 2026 года Let's Encrypt планирует сократить срок до 45 дней к 2028 году [citation:4][citation:10]. Но автоматизация делает это незаметным для пользователя.

Для 95% сайтов Let's Encrypt достаточно. OV/EV нужны для финансовых организаций или при требованиях регуляторов.

Стоимость зависит от типа:

• Let's Encrypt — бесплатно
• Платный DV — от нескольких сотен рублей в год
• OV — от нескольких тысяч рублей
• EV — от десятков тысяч рублей
• Wildcard — дороже обычного, зависит от CA

Важно: с 2026 года коммерческие сертификаты продаются на срок до 1–5 лет, но каждый выпущенный сертификат действует максимум 199 дней. Перевыпуск в течение оплаченного срока — бесплатный [citation:16].

Процесс для DV-сертификата:

1. Генерируем CSR — запрос на подпись сертификата с публичным ключом
2. Отправляем запрос в CA — Let's Encrypt или коммерческий центр
3. Проходим верификацию — для DV автоматически через DNS-запись или файл на сайте
4. Получаем сертификат — файл .crt/.pem и цепочку
5. Устанавливаем на сервер — в конфигурацию Nginx или Apache

Для Let's Encrypt всё автоматизировано: Certbot сам генерирует ключи, проходит проверку и устанавливает сертификат. Для OV/EV требуется ручная проверка организации, занимает 2–10 дней.

CSR (Certificate Signing Request) — запрос на подпись сертификата. Содержит публичный ключ и информацию о домене или организации.

Генерируется на сервере вместе с приватным ключом. Приватный ключ остаётся на сервере и никогда не передаётся в CA — это критично для безопасности [citation:5].

Если приватный ключ утерян, сертификат становится бесполезным. Придётся генерировать новый CSR и выпускать новый сертификат.

Для Nginx:

server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate /etc/ssl/cert/domain.pem;
    ssl_certificate_key /etc/ssl/cert/domain.key;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
}

Для Apache:

SSLEngine on
SSLCertificateFile /etc/pki/tls/certs/domain.crt
SSLCertificateKeyFile /etc/pki/tls/private/domain.key

Важно: отключить TLS 1.0 и 1.1, оставить только TLS 1.2 и 1.3 [citation:6][citation:8]. Приватный ключ должен иметь права 600 — доступ только владельцу [citation:8].

После настройки — проверить конфигурацию (nginx -t) и перезагрузить сервис.

Это правило, которое автоматически перенаправляет всех посетителей с http:// на https://. Настраивается в конфигурации Nginx или Apache.

Для Nginx:

server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}

Без редиректа пользователи могут заходить по HTTP и передавать данные незашифрованными. Редирект обязателен для сайтов с SSL.

HSTS (HTTP Strict Transport Security) — заголовок, который заставляет браузер использовать только HTTPS для вашего домена. Защищает от атак downgrade, когда злоумышленник пытается понизить соединение до HTTP [citation:17].

Настраивается после установки SSL. Браузер запоминает, что сайт должен работать только по HTTPS, и автоматически переключает все запросы.

Для корректной работы HSTS требуется действующий SSL-сертификат. Если сертификат истечёт, сайт станет недоступен до восстановления.

Автопродление через ACME-протокол (Certbot, AutoSSL). Клиент автоматически запрашивает новый сертификат за 30 дней до истечения срока.

Для Let's Encrypt настраивается один раз — работает постоянно. Certbot по расписанию проверяет срок и обновляет сертификат [citation:17].

Для коммерческих сертификатов провайдер автоматически перевыпускает новый сертификат в течение оплаченного срока [citation:16].

Важно: после обновления сертификата веб-сервер должен перезагрузить конфигурацию. В Docker-контейнерах это делается через хук или регулярный reload [citation:17].

Сайт перестанет работать по HTTPS, браузеры будут показывать ошибку. Нужно срочно продлить сертификат или установить новый.

Мы помогаем с восстановлением и настраиваем автопродление, чтобы это не повторилось. Для критичных проектов — мониторинг срока действия с уведомлениями за 30, 14 и 7 дней.

Частые ошибки SSL, включая истёкшие сертификаты, приводят к тому, что пользователи перестают обращать внимание на предупреждения безопасности [citation:18]. Это опасно — они могут не заметить реальную атаку.

Wildcard SSL защищает основной домен и все поддомены: *.example.com. Один сертификат покрывает blog.example.com, shop.example.com, api.example.com и любые другие.

Удобно, если у вас много поддоменов. Один сертификат — все поддомены. Дешевле, чем выпускать отдельные сертификаты для каждого.

Wildcard работает только для одного уровня поддоменов. Для example.com и *.example.com нужен либо Wildcard + обычный, либо Multi-Domain сертификат.

Multi-Domain (SAN) SSL защищает несколько разных доменов в одном сертификате. Например, example.com, example.ru, example.shop.

До 100 доменов в одном сертификате. Удобно и дешевле, чем отдельные сертификаты. Управление одним файлом вместо нескольких.

Подходит для холдингов, компаний с несколькими брендами, проектов на разных доменах.

Разница в уровне проверки:

• DV (Domain Validation) — проверяется только владение доменом. Автоматически, за минуты. Для 95% сайтов
• OV (Organization Validation) — проверяется организация. 2–3 дня. Для корпоративных сайтов
• EV (Extended Validation) — расширенная проверка. 5–10 дней. Для финансов, торговых площадок

С точки зрения шифрования все три типа одинаковы. Разница — в уровне доверия и юридической значимости [citation:17].

Современные браузеры убрали визуальное отличие EV (зелёная адресная строка). Поэтому EV имеет смысл только при требованиях регуляторов.

Способы проверки:

• Браузер — замок в адресной строке, нажать для просмотра деталей сертификата
• SSL Labs — онлайн-тест, покажет оценку и ошибки
• OpenSSL — командная строка: openssl s_client -connect example.com:443

SSL Labs оценивает конфигурацию по шкале A+ до F. Оценка A+ означает, что всё настроено правильно: TLS 1.2/1.3, сильные шифры, HSTS, нет уязвимостей.

Оценка ниже A часто означает включённые устаревшие протоколы (TLS 1.0/1.1) или слабые шифры [citation:18].

Смешанный контент — когда страница загружается по HTTPS, но некоторые элементы (картинки, скрипты, стили) — по HTTP. Браузеры блокируют такие элементы, что ломает отображение [citation:2].

Решение: заменить все ссылки http:// на https:// в HTML, CSS, JavaScript. Для CMS — в настройках и шаблонах. Для Wordpress — через плагины или замену в базе данных.

Смешанный контент — одна из частых ошибок при переходе на HTTPS. Проверяем и исправляем при настройке.

Да, если это Multi-Domain или Wildcard сертификат. Обычный SSL работает только для одного домена.

Для нескольких сайтов:

• Multi-Domain SSL — разные домены в одном сертификате
• Wildcard SSL — все поддомены одного домена
• Отдельные сертификаты — для каждого сайта свой

Для большого количества сайтов часто дешевле и удобнее использовать отдельные сертификаты с автоматическим продлением.

Code Signing — сертификат для подписи программного кода. Подтверждает, что код не изменён и выпущен доверенным разработчиком.

Используется для:

• Windows-приложений — чтобы не показывалось предупреждение SmartScreen
• Драйверов — обязательная подпись для загрузки в Windows
• Макросов — для доверия в Office
• Мобильных приложений — для публикации в сторах

Code Signing — отдельный тип сертификата, не связанный с SSL для сайтов.

S/MIME — сертификат для шифрования и подписи электронной почты. Защищает переписку от перехвата и подделки.

Используется в корпоративной среде для конфиденциальных данных: юридические документы, медицинские сведения, финансовая информация.

S/MIME гарантирует, что письмо прочитает только получатель, и подтверждает личность отправителя. Настраиваем для компаний с повышенными требованиями к безопасности.

Рекомендации:

• Личный сайт, блог, лендинг — Let's Encrypt (бесплатно, автоматически)
• Корпоративный сайт — OV-сертификат или Let's Encrypt
• Интернет-магазин — OV или EV, в зависимости от требований
• Много поддоменов — Wildcard
• Несколько доменов — Multi-Domain

Для большинства проектов Let's Encrypt достаточно. Платные сертификаты нужны, если требуются OV/EV, поддержка или юридические гарантии.

Сроки зависят от типа:

• Let's Encrypt (DV) — 5–15 минут
• Коммерческий DV — 1–24 часа
• OV — 2–3 рабочих дня
• EV — 5–10 рабочих дней

Срок для OV/EV зависит от проверки организации. Для ускорения — предоставляем все документы заранее.

SSL Labs — сервис для проверки SSL-конфигурации. Оценивает сертификат, протоколы, шифры, уязвимости.

Оценка от A+ до F. Рекомендуем проверять все сайты после настройки SSL. Оценка A+ означает:

• TLS 1.2 и 1.3 — только современные протоколы
• Сильные шифры — без RC4, MD5, DES
• HSTS — включён
• Нет уязвимостей — POODLE, DROWN и других

Конфигурация с оценкой A+ защищена от известных атак на SSL/TLS.

MITM (man-in-the-middle) — атака, при которой злоумышленник перехватывает трафик между пользователем и сервером [citation:18].

SSL с правильной настройкой защищает от MITM:

• Шифрование — данные недоступны для чтения
• Проверка сертификата — браузер убеждается, что сертификат выдан доверенным CA
• HSTS — защита от downgrade-атак [citation:17]

Важно: отключить устаревшие протоколы (SSL 3.0, TLS 1.0) и слабые шифры. Именно они позволяют проводить атаки типа POODLE и DROWN [citation:6][citation:12].

Да. Google и Яндекс учитывают HTTPS в ранжировании. Браузеры помечают сайты без SSL как «небезопасные». Даже для визитки SSL важен для доверия и SEO.

Let's Encrypt бесплатен и настраивается за минуты. Нет причин не использовать HTTPS.

Настройка включает:

• Генерацию CSR — запрос на сертификат
• Выпуск сертификата — Let's Encrypt или коммерческий
• Установку на сервер — Nginx, Apache
• Редирект HTTP → HTTPS
• Настройку TLS 1.2/1.3 — отключение устаревших протоколов
• HSTS — защита от downgrade
• Проверку через SSL Labs
• Автопродление — чтобы сертификат не истёк

Всё настраиваем под ключ. Вы получаете оценку A+ и автоматическое продление.

Процесс простой:

1. Оставьте заявку — на сайте или по телефону
2. Обсудим задачи — какой сайт, какие требования
3. Подберём сертификат — Let's Encrypt, OV, EV, Wildcard
4. Выпустим и установим — под ключ
5. Настроим автопродление — чтобы не думать об этом

SSL работает, оценка A+, сертификат продлевается автоматически. Мы на связи для любых вопросов.