Истёк SSL-сертификат: как восстановить HTTPS и автопродление

Если браузер сообщает об истёкшем сертификате, проверьте сертификат именно проблемного домена и узла, который отвечает посетителю. Затем обновите его через действующий процесс выпуска, подключите полную цепочку и проверьте автоматическое продление. Предупреждение о сертификате бывает вызвано и неправильным именем домена, неполной цепочкой или датой на устройстве.

Сохраните точный адрес и текст предупреждения

Запишите домен, наличие www, поддомен и код ошибки браузера. Сравните результат на другом устройстве с корректным временем. Не просите покупателей отключать проверку сертификатов: это не устраняет неисправность магазина.

Если трафик проходит через CDN, сертификат посетителю может выдавать CDN, а соединение с исходным сервером защищается другим сертификатом. Их сроки и настройки проверяют отдельно. Перевыпуск файла на VPS не обновит автоматически сертификат на внешнем узле.

Уточните, кто выпускает и устанавливает сертификат

На управляемом хостинге выпуском обычно занимается панель или поддержка. На собственном сервере это может быть ACME-клиент, например Certbot, либо установленный вручную сертификат удостоверяющего центра. Сначала найдите существующую конфигурацию. Второй независимый процесс выпуска создаёт путаницу в файлах и расписаниях.

Для ACME нужно подтвердить управление доменом. Let’s Encrypt описывает виды проверок, включая HTTP-01 и DNS-01. Выбор зависит от инфраструктуры. Например, правило переадресации, смена DNS или закрытый путь проверки способны остановить ранее работавшее продление.

Учебный случай: файл обновился, сайт отдаёт старый

Условный магазин использует shop.example и www.shop.example. Выпуск нового сертификата завершился успешно, но один виртуальный хост ссылается на старый файл. На основном домене ошибки нет, а посетитель ссылки с www видит предупреждение ещё до перенаправления.

1. Проверяют оба имени с указанием нужного SNI и сравнивают выдаваемые сертификаты.
2. Сопоставляют активную конфигурацию веб-сервера с путями обновлённых файлов.
3. Проверяют конфигурацию и согласованно применяют изменения.
4. Повторяют проверку снаружи для обоих имён и затронутых поддоменов.

Редирект с www на основной домен не исправляет ошибочный сертификат www: TLS-соединение устанавливается раньше HTTP-перенаправления. Обычный сертификат одного имени также не нужно считать покрытием всех поддоменов. У wildcard-сертификата проверяйте конкретные границы покрытия.

Проверьте продление, а не только текущую дату

Найдите расписание клиента, его последний результат и способ применения нового сертификата веб-сервером. В документации Certbot описана проверка renew с параметром dry-run. Выполняйте её для настроенного клиента в согласованной среде, учитывая обращения к сервисам проверки.

Успешный пробный выпуск ещё не проверяет всю эксплуатационную цепочку. Нужны доступ к домену или DNS, выполнение расписания, корректные пути и применение нового файла. Добавьте оповещение о приближении срока и о неуспешном продлении. Не публикуйте закрытые ключи и учётные данные DNS в заявках или скриншотах.

Приёмка HTTPS после исправления

• Открываются основной домен, www и используемые поддомены.
• Браузер получает подходящий действующий сертификат и цепочку.
• Корзина, кабинет и платёжный переход работают по HTTPS.
• Изображения и скрипты не вызывают ошибок смешанного содержимого.
• Записаны ответственный за продление, расписание и способ получения уведомлений.

Покупку после восстановления можно пройти по чек-листу проверки корзины: доступная главная страница не проверяет оформление и уведомления.

Частые вопросы