Установка SSL-сертификата: 4 способа по шагам

Как установить SSL-сертификат на конструкторе сайтов, в cPanel, Nginx или Apache и через Let's Encrypt с certbot, плюс проверки, что всё работает.

Частые вопросы

Сколько времени занимает установка SSL-сертификата?

На конструкторе сайтов или у хостинга с автоматическим SSL сертификат обычно выпускается без вашего участия, как только домен указывает на нужный адрес. Ручная установка на собственном сервере занимает столько, сколько нужно, чтобы сгенерировать ключ, получить сертификат, поправить конфигурацию и перезагрузить сервер. Срок выпуска зависит от центра сертификации и способа проверки, поэтому единого числа для всех провайдеров не существует.

Сертификат Let's Encrypt правда бесплатный и как долго он действует?

Да, Let's Encrypt выпускает сертификаты бесплатно. В их FAQ сказано, что сертификаты по умолчанию действуют 90 дней, изменить этот срок нельзя, а продлевать 90-дневные сертификаты рекомендуется каждые 60 дней. Кроме того, Let's Encrypt объявил, что стандартный профиль перейдёт на 64-дневные сертификаты 10 февраля 2027 года, а на 45-дневные — 16 февраля 2028 года. Это ещё одна причина автоматизировать продление, а не делать его вручную (проверено в ноябре 2026).

Почему браузер всё равно пишет «Не защищено» после установки сертификата?

Чаще всего причина в неполной цепочке сертификатов (нет промежуточного сертификата), в сертификате, выпущенном на другое имя, чем то, которое вы открываете (например, на домен без www вместо www), или в смешанном контенте: страница открыта по HTTPS, но изображения или скрипты по-прежнему подгружаются по http://. Проверьте цепочку командой openssl s_client и поищите http://-адреса в исходном коде страницы.

Чем файл сертификата отличается от закрытого ключа?

Сертификат публичный: сервер отправляет его каждому посетителю. Закрытый ключ остаётся на вашем сервере и подтверждает, что сертификат принадлежит вам. В документации Nginx сказано, что ключ нужно хранить в файле с ограниченным доступом, но он должен читаться главным процессом nginx. Потерянный ключ восстановить нельзя, придётся получать новый сертификат.

Нужно ли устанавливать SSL-сертификат, если я пользуюсь конструктором сайтов?

Обычно нет. Облачные конструкторы, как правило, сами выпускают и продлевают HTTPS для подключённых доменов. Вам остаётся направить DNS домена на конструктор и после подключения убедиться, что значок замка отображается и на основном домене, и на версии с www.

Коротко: способ установки SSL-сертификата зависит от того, где размещён сайт. На облачном конструкторе всё происходит автоматически, вам нужно только подключить домен. На хостинге с cPanel обычно справляется AutoSSL, либо вы вставляете сертификат и ключ в разделе SSL/TLS. На собственном сервере с Nginx или Apache быстрее всего взять Let's Encrypt и certbot: он получит сертификат, поправит конфигурацию и настроит продление. После любой установки проверьте значок замка, редирект с http на https и продление.

Какой способ установки вам подходит?

Где работает сайт	Что делать	Трудоёмкость	Продление
Облачный конструктор сайтов	Подключить домен, HTTPS настроится сам	Минимальная	Берёт на себя платформа
Виртуальный хостинг с cPanel	Использовать AutoSSL или установить купленный сертификат в разделе SSL/TLS	Низкая или средняя	AutoSSL продлевает сам; купленный сертификат вы продлеваете сами
Собственный VPS с Nginx или Apache	Запустить certbot или установить файлы сертификата вручную	Средняя	Certbot создаёт задачу автоматического продления
Платный сертификат от поставщика	Сгенерировать CSR, отправить его, установить полученные файлы	Максимальная	Вы продлеваете вручную до истечения срока

Если не уверены, какой сертификат вам нужен (с проверкой домена, организации, wildcard), сначала прочитайте про типы SSL-сертификатов. Если выбираете между бесплатным и платным, варианты разобраны в материале сколько стоит SSL-сертификат. Основы описаны в статье что такое SSL-сертификат.

Прежде чем начать: чек-лист

Пройдитесь по списку, прежде чем трогать сервер. Большинство неудачных установок связано с одним из этих пунктов.

[ ] A/AAAA-запись домена (или CNAME) указывает на сервер или платформу, где вы устанавливаете сертификат.
[ ] Сайт открывается по обычному http:// на порту 80, если вы собираетесь использовать webroot-режим certbot или плагины для Nginx и Apache.
[ ] Порт 443 открыт в брандмауэре и в настройках безопасности хостинг-провайдера.
[ ] Вы знаете все имена, которые должен покрывать сертификат: example.com и www.example.com.
[ ] Если у домена есть CAA-записи, одна из них разрешает выпуск центру сертификации, которым вы пользуетесь.
[ ] У вас есть резервная копия текущей конфигурации сервера.

Способ 1: облачный конструктор сайтов (автоматически)

На облачном конструкторе не нужно генерировать ключи и править файлы сервера. Общая схема такая:

Добавьте свой домен в настройках доменов конструктора.
У регистратора создайте DNS-записи, которые указал конструктор.
Дождитесь обновления DNS и откройте сайт по https:// и на основном домене, и с www.
Если значок замка не появился, перепроверьте DNS-записи. Пока домен не указывает на платформу, сертификат выпустить нельзя.

Вот и весь процесс. Если вы ещё выбираете платформу: на бесплатном тарифе We.Inc можно опубликовать до трёх сайтов из готовых шаблонов, а ИИ-конструктор, который собирает черновик сайта по запросу, доступен на тарифе Starter за $20 в месяц. Зарегистрироваться можно здесь.

Способ 2: хостинг с cPanel

В cPanel есть два пути. Сначала проверьте первый и только потом переходите ко второму.

Сначала проверьте AutoSSL

Откройте cPanel > Security > SSL/TLS Status (Безопасность > Состояние SSL/TLS). Согласно документации cPanel, этот интерфейс позволяет просматривать, обновлять и продлевать сертификаты ваших доменов, а также находить домены без защиты или с истекающим сертификатом. Если для домена нет действующего сертификата, запустите AutoSSL на этом же экране, если ваш хостер его включил. Доступность функции определяет хостинг-провайдер (она настраивается в WHM, в Feature Manager), так что, если вы её не видите, обратитесь в поддержку хостинга.

Установка купленного сертификата вручную

Перейдите в cPanel > Security > SSL/TLS. В разделе закрытых ключей сгенерируйте ключ (или загрузите уже имеющийся). cPanel предупреждает, что потерянный закрытый ключ восстановить нельзя, поэтому сохраните копию в надёжном месте.
Сгенерируйте запрос на подпись сертификата (CSR) для вашего домена и отправьте его поставщику сертификата.
Пройдите проверку домена у поставщика и скачайте сертификат и CA-пакет (CA bundle).
Вернитесь в раздел SSL/TLS, откройте экран установки и управления SSL для сайта и вставьте сертификат, соответствующий ему закрытый ключ и CA-пакет.
Сохраните и проверьте сайт по https://.

В документации cPanel отмечено, что CAA-записи в зоне домена ограничивают, какие центры сертификации вправе выпускать сертификаты для вашего домена. Если выпуск не проходит, загляните в Zone Editor (cPanel > Domains > Zone Editor) и поищите конфликтующую CAA-запись.

Названия разделов могут отличаться в разных версиях cPanel, поэтому ориентируйтесь на подписи на экране, если ваш интерфейс слегка другой.

Способ 3: Let's Encrypt и certbot (Nginx или Apache)

Это стандартный путь для VPS или выделенного сервера, которым вы управляете сами. Шаги ниже следуют инструкции Certbot для Nginx на Linux через snap (проверено в ноябре 2026). На сайте Certbot есть аналогичные инструкции для Apache и других систем, так что выберите там свою комбинацию.

Убедитесь, что сайт уже отвечает по адресу http://yourdomain.com. Режимам certbot для Nginx и Apache нужен существующий HTTP-сайт, доступный на порту 80.
Если у вас стоит старый certbot из пакетного менеджера ОС, сначала удалите его (например, через apt, dnf или yum).
Установите certbot:

``bash sudo snap install --classic certbot sudo ln -s /snap/bin/certbot /usr/local/bin/certbot ``

Получите сертификат и позвольте certbot автоматически изменить конфигурацию Nginx:

``bash sudo certbot --nginx ``

Чтобы получить только сертификат и самостоятельно отредактировать конфигурацию, используйте sudo certbot certonly --nginx. Для Apache аналогичный флаг — --apache.

Проверьте автоматическое продление:

``bash sudo certbot renew --dry-run ``

Вместе с пакетами certbot устанавливается задание cron или таймер systemd, которое продлевает сертификаты до истечения срока, а команда systemctl list-timers покажет, активен ли таймер. Если порт 80 закрыт или вам нужен wildcard-сертификат, используйте проверку через DNS.

Способ 4: ручная установка файлов сертификата в Nginx

Этот вариант подходит, если поставщик выдал вам файл сертификата и CA-пакет. Документация Nginx описывает нужные элементы: параметр ssl на слушающем сокете, а также пути к сертификату и ключу.

``nginx server { listen 443 ssl; server_name www.example.com; ssl_certificate www.example.com.chained.crt; ssl_certificate_key www.example.com.key; } ``

Большинство ошибок при ручной установке вызывают две детали:

Порядок в цепочке. Если поставщик дал пакет, объедините файлы так, чтобы сертификат вашего сервера шёл первым: cat www.example.com.crt bundle.crt > www.example.com.chained.crt. В документации Nginx предупреждают: при обратном порядке nginx не запустится и выдаст ошибку «key values mismatch».
Права на ключ. У файла закрытого ключа должен быть ограниченный доступ, но главный процесс nginx обязан его читать.

По умолчанию nginx использует TLSv1.2 и TLSv1.3, поэтому протоколы, как правило, указывать явно не нужно. Проверьте конфигурацию командой sudo nginx -t, затем перезагрузите nginx.

Для Apache действуют те же три составляющие: включите модуль SSL, укажите в SSL-виртуальном хосте файлы сертификата, ключа и цепочки, проверьте конфигурацию и перезагрузите сервер. Названия директив отличаются от Nginx, поэтому следуйте документации Apache для вашего дистрибутива.

Проверьте установку

Не останавливайтесь на «сайт открывается». Проверьте каждый пункт:

Замок на обоих именах. Откройте https://example.com и https://www.example.com.
Редирект. Откройте http://example.com и убедитесь, что вас перенаправляет на https://.
Цепочка. Выполните openssl s_client -connect example.com:443: именно эту команду документация Nginx предлагает для проверки, что сервер отдаёт полную цепочку.
Смешанный контент. Откройте консоль разработчика в браузере на нескольких страницах и поищите заблокированные запросы по http://. Замените эти адреса на https://.
Срок действия и продление. Запишите дату окончания и убедитесь, что продление автоматическое, либо поставьте эту дату в календарь.

Быстрый список для устранения неполадок

Браузер предупреждает о недоверенном издателе: не хватает промежуточного сертификата. Пересоберите объединённый файл, как показано выше.
Nginx не запускается после изменений: проверьте порядок сертификата и ключа и то, что ключ соответствует сертификату.
Certbot не проходит проверку: убедитесь, что DNS указывает на этот сервер и порт 80 открыт, либо перейдите на проверку через DNS.
Сертификат выпущен не на то имя: перевыпустите его, указав и основной домен, и www.

Если вы делаете сайт локальной услуги и хотите, чтобы он ранжировался, HTTPS — лишь базовое условие. Посмотрите, как построены сайты установщиков солнечных панелей и установщиков водостоков, чтобы понять, что делать дальше.

Начать бесплатно · Банковская карта не нужна

Umair Ali Sadaqat

Основатель We.Inc

Умайр — основатель We.Inc. Он пишет о создании сайтов с помощью ИИ, агентствах и ведении бизнеса веб-студии.

Готовы создать что-то стоящее?

Присоединяйтесь к 15,000+ компаний, которые с We.Inc запускаются, растут и автоматизируют работу — всё на одной платформе.

Начать бесплатно

Банковская карта не нужна · Связаться с отделом продаж