Как обновить SSL-сертификат и проверить HTTPS на сайте

Посмотрите срок сертификата в браузере

Откройте сайт по его обычному адресу с https://. В сведениях о соединении рядом с адресной строкой найдите просмотр сертификата. Запишите адрес, дату окончания действия и имена сайтов, для которых он выпущен. Сертификат помогает браузеру проверить подлинность HTTPS-соединения с этим адресом.

Если браузер уже показывает предупреждение, не переходите на сайт через исключение и не вводите данные. В Firefox сертификат проблемного сайта можно посмотреть прямо на странице предупреждения: нажмите «Дополнительно…», затем «Просмотреть сертификат сайта». Проверьте также дату и время на своем устройстве: неверные часы могут привести к ошибке срока действия.

Дата в браузере относится к сертификату, который сайт отдал при этом подключении. Если в панели хостинга указан другой срок, проверьте, что смотрите один и тот же адрес. Для сайта с несколькими серверами или внешней службой, принимающей HTTPS перед сервером, сравнение поручите администратору. Новый файл в панели еще не подтверждает его установку во всех местах.

Как открыть сертификат и посмотреть его поля в Firefox

Проверьте сертификат на своем сайте

Введите адрес сайта, чтобы узнать срок сертификата, который он отдает сейчас. Адрес с www и каждый нужный поддомен проверьте отдельно.

Выясните, кто обновляет сертификат

Чтобы сайт продолжал работать по HTTPS после текущей даты окончания, получите новый сертификат с подходящим сроком действия. Дату в уже выданном сертификате нельзя просто изменить. Продление услуги у поставщика и выпуск нового сертификата могут быть разными действиями. Уточните порядок своего поставщика и проверьте срок полученного сертификата.

Затем установите новый сертификат в сервисе, который принимает HTTPS-подключения. Это может быть сервер хостинга, ваш собственный сервер или внешняя служба перед ним. Продление регистрации домена выполняется отдельно и не обновляет сертификат.

На виртуальном хостинге провайдер может выполнять выпуск и установку за вас. Уточните это для своего тарифа и типа сертификата. Для сертификата, купленного у другого поставщика, отдельно выясните, кто заказывает продление, проходит проверку домена и устанавливает полученные файлы.

На собственном сервере автоматическое обновление зависит от настроенной программы и заданий по расписанию. Программа, которая получает сертификаты по протоколу ACME, называется ACME-клиентом. Если вы используете Let’s Encrypt, проверьте, настроены ли автоматический выпуск и установка. Порядок для собственного сервера описан ниже.

На виртуальном хостинге проверьте обновление в панели

Например, на виртуальном хостинге Beget откройте раздел «Домены и поддомены» и окно управления SSL напротив нужного домена. Для бесплатного Let’s Encrypt провайдер берет перевыпуск на себя. Затем проверьте срок сертификата в браузере.

Если автоматическое обновление не произошло в срок, установленный провайдером, или браузер сообщает об истечении сертификата, обратитесь в поддержку хостинга. Передайте адрес, текст ошибки и дату окончания из браузера. Попросите проверить выпуск и установку. Не удаляйте действующий сертификат ради повторного выпуска без согласованного порядка замены.

Если сертификат получен у другого поставщика, сначала завершите продление или перевыпуск по его инструкции. Затем установите полученные данные в панели хостинга. В Beget для этого есть вкладка «Установка SSL сертификата» с полями сертификата и соответствующего приватного ключа, а также выбором домена. Приватный ключ храните закрыто, не размещайте его в папке сайта и не вставляйте в публичные сообщения.

Следуйте инструкции своего хостинга по комплекту файлов, включая промежуточные сертификаты, если они требуются. Они связывают сертификат сайта с центром сертификации, которому доверяет браузер. После установки откройте сайт заново и проверьте полученную дату. Названия разделов и порядок установки у другого провайдера могут отличаться.

Управление SSL-сертификатами на виртуальном хостинге Beget

На собственном сервере поручите проверку администратору

Попросите администратора выяснить, как получают сертификат: автоматически через ACME-клиент или вручную у поставщика. При ручном обновлении он согласует получение нового сертификата, проверяет комплект файлов и соответствующий приватный ключ, затем устанавливает сертификат по инструкции для этого сервера. Результат проверьте по HTTPS, как описано в следующем разделе.

Если используется ACME-клиент, администратор определяет список обслуживаемых имен и задание автоматического обновления. Ему нужно проверить журнал последней попытки, получение нового сертификата и применение его сервером. Успешное выполнение задания без нового сертификата само по себе не ошибка: клиент мог решить, что обновлять его еще рано.

Для выпуска центр сертификации проверяет управление доменом. В зависимости от настройки он запрашивает проверочный файл через HTTP или специальную запись в системе доменных имен (DNS). Если проверка не проходит, администратор проверяет именно используемый способ. Для HTTP-01 в Let’s Encrypt нужен доступ к проверочному файлу через порт 80; для DNS-01 нужна доступная TXT-запись. Названия способов помогут сопоставить ошибку с журналом.

Не отключайте перенаправления и защиту всего сайта по случайной инструкции. Порядок зависит от клиента, хостинга и способа проверки домена. После выпуска администратор проверяет конфигурацию сервера и применяет новый сертификат предусмотренным способом. Если HTTPS принимают несколько серверов или внешний сервис, обновление проверяют на каждом из них.

Попросите подтвердить порядок следующего обновления и кто узнает об ошибке. Сроки сертификатов различаются и меняются. Ориентируйтесь на фактическую дату окончания и принятый способ обновления, а не на универсальное обещание обновлять сертификат раз в 90 дней.

Проверьте домен, www и нужные поддомены

Заново откройте сайт и сравните дату окончания в браузере с датой в новом сертификате. Проверьте основной домен и поддомены, которыми пользуются сотрудники и сервисы. Добавьте вариант с www, если сайт должен открываться по этому имени или перенаправлять с него по HTTPS. Сертификат должен подходить к каждому используемому HTTPS-имени; это может быть один сертификат на несколько имен или отдельные сертификаты.

Если HTTPS-адрес с www перенаправляет на адрес без www, исходному адресу тоже нужен действительный сертификат. Браузер устанавливает защищенное соединение до получения перенаправления. Для используемых имен проверьте также варианты с http://. Если для них настроен переход на HTTPS, убедитесь, что они ведут на предусмотренный рабочий адрес без цикла перенаправлений.

Если новый сертификат виден только в части проверок, передайте администратору точные адреса и результаты. Ему нужно сверить серверы, настройки имен и направления DNS, включая IPv4 и IPv6, если сайт использует оба. Повторная проверка из другой сети помогает заметить различие, но не подтверждает одинаковый ответ для всех посетителей.

Проверьте страницы и адреса интеграций

Откройте важные страницы своего сайта. Для магазина это главная, каталог, карточка товара и корзина; для сайта услуг проверьте страницу с формой. Посмотрите изображения, оформление и работу кнопок без отправки рабочих данных. Страница по HTTPS может продолжать запрашивать скрипты, изображения или другие ресурсы по HTTP. Это называется смешанным содержимым. Браузер блокирует часть таких запросов или пытается заменить их на HTTPS; действующий сертификат не исправляет исходные ссылки.

Если после обновления пропали изображения или перестала работать кнопка, попросите разработчика проверить сообщения браузера и адреса ресурсов. Ресурс должен быть доступен по HTTPS, а ссылка на него должна соответствовать этому адресу. Не разрешайте небезопасное содержимое в браузере вместо исправления сайта.

Проверьте сертификаты и по HTTPS-адресам, через которые к сайту обращаются 1С, платежная система, CRM и другие сервисы. Их запросы могут идти на отдельный поддомен и проверять сертификат независимо от вашего браузера. Проверку реального обмена или оплаты согласуйте с исполнителем, используя предусмотренный тестовый режим. Открытие главной страницы не подтверждает прием уведомления об оплате.