Продление SSL: как не пропустить срок истечения
Одна из самых частых причин падения HTTPS — истёкший SSL-сертификат. Сайт перестаёт открываться, браузеры показывают ошибку, пользователи уходят. Восстановление занимает время, а если сертификат нужен срочно — выпуск занимает часы или дни.
Проблема в том, что срок действия SSL ограничен. Для Let's Encrypt — 90 дней, для коммерческих — 200 дней и меньше. Без автопродления легко пропустить дату. В этой статье — разбор того, как не пропустить продление SSL. Если нужно настроить SSL — поможем.
Почему важно продлевать
Истёкший SSL приводит к серьёзным проблемам для бизнеса.
Браузеры показывают ошибку
«Не удалось установить безопасное соединение». Пользователи видят предупреждение и уходят.
SEO падает
HTTPS перестаёт работать, сайт теряет позиции в выдаче. Восстановление занимает недели.
Пользователи уходят
Мало кто решится перейти на сайт с ошибкой безопасности. Потеря трафика и конверсии.
Потери выручки
Каждый час простоя интернет-магазина — потерянные заказы. Восстановление занимает часы.
Репутация страдает
Компания выглядит несерьёзно. Клиенты теряют доверие, восстановить его сложно.
Время на восстановление
Срочный выпуск сертификата — часы или дни. Лучше предотвратить, чем решать.
💡 Важно
Проще предотвратить проблему, чем решать её. Автопродление решает эту задачу один раз и навсегда.
Автопродление
Автопродление — самый надёжный способ не пропустить срок. Настраивается один раз и работает годами.
Способы автоматизации
- Certbot: официальный ACME-клиент для Let's Encrypt. Добавляет cron-задачу или systemd-таймер для проверки и продления;
- acme.sh: лёгкий shell-скрипт. Поддерживает DNS API для автоматизации Wildcard-сертификатов;
- Панель хостинга: ISPmanager, cPanel, Plesk имеют встроенную поддержку Let's Encrypt с автопродлением;
- Коммерческие CA: некоторые поддерживают автопродление через API;
- Docker + Traefik: автоматическое получение и продление в контейнерах;
- Ansible, Terraform: для инфраструктуры как кода.
Как работает автопродление
- Проверка: клиент проверяет срок действия каждые 12 часов;
- Триггер: за 30 дней до истечения запускается продление;
- Валидация: клиент проходит ACME-валидацию заново (HTTP-01 или DNS-01);
- Обновление: новый сертификат устанавливается вместо старого;
- Перезагрузка: сервисы перезагружаются с новым сертификатом (по хуку);
- Уведомление: если что-то пошло не так — клиент отправляет уведомление.
Автопродление настраивается один раз. После этого сертификат обновляется без участия человека.
💡 Важно
Проверяйте логи автопродления раз в месяц. Даже если всё работает — лучше убедиться, что следующий цикл пройдёт успешно.
Мониторинг
Если автопродление невозможно — настройте мониторинг. Это второй по надёжности способ не пропустить срок.
Что мониторить
- Срок действия сертификата: сколько дней осталось;
- Валидность цепочки: все промежуточные сертификаты на месте;
- Оценка SSL Labs: конфигурация не устарела;
- Редирект HTTP → HTTPS: работает корректно;
- Смешанный контент: все ресурсы по HTTPS.
Инструменты
- SSL Labs: оценка конфигурации, проверка цепочки;
- UptimeRobot: проверка SSL каждые 5 минут;
- Pingdom: мониторинг срока действия;
- Zabbix / Prometheus: внутренний мониторинг с алертами;
- Скрипты: собственные проверки через
openssl s_client; - Уведомления от CA: автоматические напоминания.
Мониторинг помогает не пропустить срок, даже если автопродление не настроено.
Ручное продление
Если автопродление невозможно, продление делается вручную. Это рутина, которую легко забыть, но иногда выбора нет.
Порядок действий
- Уведомление: за 30 дней приходит напоминание от CA;
- Оплата: оплачиваете продление в панели CA;
- Перевыпуск: CA выпускает новый сертификат (бесплатно при продлении);
- Проверка: убеждаетесь, что новый сертификат корректен;
- Установка: заменяете старый сертификат на новый на сервере;
- Перезапуск: перезапускаете веб-сервер;
- Проверка: убеждаетесь, что HTTPS работает.
Ручное продление занимает 15–30 минут. Если делать это раз в год — не проблема. Если чаще — утомительно.
Что может пойти не так
- Забыли оплатить: сертификат истекает;
- Не заменили файл: старый сертификат продолжает отдаваться;
- Забыли перезапустить: сервер использует кеш старого сертификата;
- Ошибка в цепочке: новый сертификат без промежуточных;
- Неправильные пути: сервер не находит файл сертификата.
Что делать, если истёк
Если сертификат уже истёк — действовать нужно быстро. Каждая минута простоя — потерянные деньги и пользователи.
Порядок действий
- Проверить статус: через SSL Labs или командой
openssl s_client -connect example.com:443; - Продлить/перевыпустить: в панели CA или через ACME;
- Для Let's Encrypt: принудительно продлить через
certbot renew --force-renewal; - Установить новый сертификат: заменить на сервере;
- Перезапустить сервер: чтобы новый сертификат применился;
- Проверить: сайт должен снова работать по HTTPS;
- Настроить автопродление: чтобы это не повторилось.
Если сертификат нужен срочно
- Let's Encrypt: выпуск за минуты — самый быстрый вариант;
- Commercial CA: срочный выпуск за часы (с наценкой);
- Wildcard: для поддоменов — нужен DNS-доступ;
- Временное решение: самоподписанный сертификат — но браузеры будут ругаться.
💡 Важно
Истёкший сертификат — это аварийная ситуация. После восстановления сразу настройте автопродление, чтобы проблема не повторилась.
Наши рекомендации
Что вы получаете, заказывая настройку SSL у нас
- Выпуск сертификата — Let's Encrypt или платный
- Автопродление — через ACME-клиент
- Мониторинг — контроль срока действия
- Алерты — уведомления при проблемах
- Редирект HTTP → HTTPS — настройка
- Проверку SSL Labs — оценка A или A+
📌 Итоговый вывод
Продление SSL — задача, которую легко автоматизировать.
Что нужно знать:
- Почему важно: истёкший SSL — падение сайта и репутации;
- Автопродление: ACME, панель хостинга, API CA;
- Мониторинг: уведомления от CA, сервисы, календарь;
- Ручное продление: оплата, перевыпуск, установка;
- Если истёк: срочно продлить и установить новый.
Также рекомендуем: зачем нужен SSL, виды SSL-сертификатов, Let's Encrypt, установка SSL, ошибки при выборе, SSL-сертификаты.