Как продлить SSL-сертификат: автопродление и платные сертификаты

Как продлить SSL-сертификат: автопродление Let's Encrypt, пошаговое продление платного сертификата и подготовка к сокращению сроков действия.

Частые вопросы

Как продлить сертификат Let's Encrypt?

Выполните `sudo certbot renew`. Команда продлевает только те сертификаты, срок которых подходит к концу, поэтому её безопасно запускать по расписанию. В большинстве установок Certbot уже есть задача по расписанию, которая делает это сама, а `sudo certbot renew --dry-run` проверяет процесс на тестовом сервере Let's Encrypt, не сохраняя тестовые сертификаты.

Какой срок действия у SSL-сертификата в 2026 году?

По ballot SC-081v3 форума CA/Browser Forum публично доверенные сертификаты до 15 марта 2026 года могли действовать до 398 дней. С этой даты предел составляет 200 дней. 15 марта 2027 года он снизится до 100 дней, а 15 марта 2029 года — до 47 дней. Некоторые центры сертификации выдают сертификаты чуть короче предела, а у Let's Encrypt собственный, более короткий график.

Что будет, если SSL-сертификат истечёт?

Браузеры покажут посетителям полноэкранное предупреждение о безопасности, и многие не пустят дальше без ручного подтверждения. API-клиенты и интеграции оплаты или входа, которые строго проверяют сертификаты, могут просто перестать работать. Проблему решает продление и установка нового сертификата, а посетителям после этого ничего делать не нужно.

Продление — это то же самое, что покупка нового сертификата?

Для большинства платных сертификатов продление — это выпуск нового сертификата для того же домена, обычно с повторной проверкой и новым или прежним CSR. Одни поставщики дают скидку на продление или включают его в пакет, другие считают его обычной покупкой. Уточните условия продления у своего поставщика и не рассчитывайте на скидку заранее.

Почему перестало работать автопродление Let's Encrypt?

Частые причины: удалённый или отключённый таймер либо cron-задача, веб-сервер, который больше не отвечает на HTTP-проверку на порту 80, изменение DNS или сертификат, созданный в ручном режиме без скрипта аутентификации. Для автоматического продления wildcard-сертификатов нужен DNS-плагин. Запустите `sudo certbot renew --dry-run` и прочитайте выведенную ошибку.

Коротко: если сертификат выдан Let's Encrypt, выполните sudo certbot renew (или положитесь на задачу по расписанию, которую ваша установка Certbot уже создала). Если вы купили его у центра сертификации или реселлера, продлите его в личном кабинете поставщика, заново подтвердите домен и установите новые файлы сертификата на сервер или хостинг. После этого проверьте новую дату окончания в браузере. Максимальные сроки действия сертификатов тоже сокращаются, так что чем раньше вы настроите автоматизацию, тем реже придётся делать всё вручную.

Сначала выясните, когда и где истекает сертификат

Прежде чем что-то продлевать, убедитесь, что именно у вас есть.

  1. Откройте сайт в Chrome, нажмите на значок замка или информации о сайте, откройте сведения о сертификате и запишите дату «Действителен до» (Valid to) и издателя.
  2. Или проверьте из терминала: echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -issuer
  3. Если издатель — Let's Encrypt, перейдите к разделу про автопродление ниже. Если другой центр сертификации, скорее всего, у вас платный сертификат и нужны шаги для платного продления.
  4. Если сайт работает на управляемом хостинге или конструкторе сайтов, платформа обычно продлевает сертификат сама. Прежде чем трогать файлы, поищите настройку SSL или безопасности домена.

Не уверены, какой у вас тип? В руководстве по типам SSL-сертификатов разобраны сертификаты с проверкой домена, организации и расширенной проверкой, а основы описаны в глоссарии: что такое SSL-сертификат.

Какой способ продления вам подходит

Ваша ситуацияЧто делатьТрудозатраты
Let's Encrypt через Certbot на вашем сервереУбедитесь, что задача certbot renew по расписанию работает, затем проверьте с --dry-runНебольшие, в основном разово
Сертификат от платного центра сертификации или реселлераПродлите в кабинете поставщика, подтвердите домен, установите новые файлыВручную, каждый срок
Управляемый хостинг или конструктор сайтов со встроенным SSLПроверьте настройку SSL; продление обычно автоматическоеМинимальные
Сертификат за CDN или балансировщиком нагрузкиПродлевайте на CDN или балансировщике, а не на исходном сервереЗависит от конфигурации

Продление сертификата Let's Encrypt (автопродление)

Сертификаты Let's Encrypt рассчитаны на продление программой. В документации Certbot сказано, что в большинстве установок автоматическое продление уже настроено: по расписанию периодически запускается certbot renew.

Пошагово

  1. Проверьте, что задача по расписанию существует. В системах с systemd выполните systemctl list-timers и найдите таймер Certbot. В остальных проверьте crontab. Оба места описаны в документации Certbot.
  2. Запустите пробный прогон. sudo certbot renew --dry-run проверяет продление на тестовом сервере Let's Encrypt. Тестовые сертификаты выпускаются, но не сохраняются на диск, поэтому на работающем сайте это безопасно.
  3. Исправьте всё, о чём сообщит команда. Типичные сбои: файервол блокирует порт 80, конфигурация веб-сервера больше не отдаёт путь проверки или DNS указывает в другое место.
  4. При необходимости продлите прямо сейчас. sudo certbot renew затрагивает только сертификаты, срок которых близок к концу, так что повторный запуск безвреден.
  5. Перезагрузите веб-сервер после продления, если ваша конфигурация не делает этого сама. Certbot поддерживает deploy-хуки, которые срабатывают, только если сертификат действительно был продлён.
  6. Проверьте новую дату окончания в браузере или командой openssl, указанной выше.

Когда автопродление само по себе не сработает

  • Сертификаты, созданные с опцией Certbot --manual, не продлеваются автоматически, если не добавить скрипт-хук аутентификации.
  • Wildcard-сертификатам нужна проверка через DNS, поэтому для продления без вашего участия требуется DNS-плагин для вашего DNS-провайдера.
  • На перенесённых, пересозданных или клонированных серверах таймер или запись cron часто теряются, хотя файлы сертификата переезжают.

Настройте продление так, чтобы оно пережило сокращение сроков

Let's Encrypt объявил, что переведёт свой профиль «classic» по умолчанию на 64-дневные сертификаты 10 февраля 2027 года, а затем на 45-дневные — 16 февраля 2028 года. По их рекомендации, клиентам, которые не используют ACME Renewal Information (ARI), не стоит продлевать сертификаты по жёстко заданному графику, а продление через фиксированные 60 дней скоро перестанет быть достаточным. Команда Certbot renew решает по оставшемуся сроку действия, и это более надёжный подход. Обновляйте Certbot и не оборачивайте его собственным скриптом с фиксированным интервалом. Подробности — в анонсе Let's Encrypt о сроках действия.

Продление платного SSL-сертификата

Платные сертификаты сами не продлеваются, если поставщик или хостинг не настроили автопродление. Названия кнопок и меню у разных поставщиков отличаются, поэтому считайте это общим порядком действий, а точные экраны смотрите в документации своего провайдера.

  1. Начните продление в аккаунте поставщика. Найдите сертификат, срок которого подходит к концу, и выберите «продлить», «перевыпустить» или «заказать заново».
  2. Создайте CSR. Многие серверы и панели управления умеют создавать запрос на подпись сертификата (CSR). Некоторые поставщики позволяют использовать старый CSR, но лучше взять за правило создавать новую пару ключей.
  3. Пройдите проверку домена. Обычно нужно подтвердить контроль над доменом через письмо на разрешённый адрес, запись DNS или файл на сайте. Для сертификатов с проверкой организации и расширенной проверкой могут потребоваться ещё и документы, поэтому начинайте с них заранее.
  4. Скачайте выпущенные файлы. Обычно вы получаете сам сертификат и пакет промежуточных сертификатов (цепочку).
  5. Установите их на сервер, хостинг или CDN, затем перезапустите или перезагрузите веб-сервер.
  6. Проверьте. Откройте сайт в новом окне браузера, посмотрите дату окончания и убедитесь, что нет предупреждений о неполной цепочке или смешанном содержимом (mixed content).
  7. Обновите напоминания и отключите автопродление старого сертификата, если вы сменили провайдера.

Если вы сравниваете поставщиков или хотите понять, сколько должно стоить продление, загляните в руководство по стоимости SSL-сертификата. Регистрация домена продлевается отдельно, об этом рассказано в руководстве по стоимости продления домена.

Сроки действия сертификатов сокращаются (проверено в ноябре 2026 года)

Форум CA/Browser Forum принял ballot SC-081v3 в апреле 2025 года. Он поэтапно снижает максимальный срок действия публично доверенных TLS-сертификатов:

Выпущены не раньшеМаксимальный срок действия
До 15 марта 2026398 дней
15 марта 2026200 дней
15 марта 2027100 дней
15 марта 202947 дней

На практике всё, что вы продлеваете вручную, теперь нужно трогать примерно два раза в год, с марта 2027 года — примерно четыре раза в год, а к 2029 году — около восьми раз в год. Сокращаются и периоды повторного использования проверки домена, так что полагаться на старую проверку и пропускать шаг не получится. Ограничения касаются публично доверенных сертификатов, а частные и внутренние центры сертификации живут по своим правилам.

Если вы всё ещё продлеваете сертификаты вручную, реалистичных вариантов два: перейти на центр сертификации или хостинг с поддержкой автоматического выпуска (ACME) либо поставить перед сайтом управляемый слой, например хостинг или CDN.

Чек-лист продления SSL

Скопируйте его в трекер вашей команды:

`` [ ] Перечислить все сертификаты: домен, издатель, дата окончания, где установлен [ ] Указать, кто отвечает за каждое продление (имя, а не общий псевдоним команды) [ ] Поставить напоминания за 30 и 14 дней до окончания [ ] Let's Encrypt: убедиться, что таймер Certbot или задача cron существует [ ] Let's Encrypt: запустить certbot renew --dry-run и устранить ошибки [ ] Wildcard: убедиться, что настроен DNS-плагин или хук [ ] Платные сертификаты: убедиться, что контактный email для проверки или доступ к DNS всё ещё работает [ ] Создать новый CSR и ключ, если поставщик требует или рекомендует [ ] Установить сертификат И промежуточную цепочку [ ] Перезагрузить веб-сервер, CDN или балансировщик нагрузки [ ] Проверить сайт в новом окне браузера и посмотреть новую дату окончания [ ] Проверить поддомены, www и без www, а также все API-эндпоинты [ ] Удалить просроченные сертификаты и снять старые напоминания [ ] Планировать на 200 дней сейчас и на 100 дней с 15 марта 2027 года ``

Типичные ошибки при продлении

  • Продление не на том уровне. Если TLS завершается на CDN или балансировщике, продление сертификата на исходном сервере ничего не изменит для посетителей.
  • Забытая цепочка. Если установить только конечный сертификат, в одном браузере всё может работать, а в другом или в API-клиенте — нет.
  • Сервер не перезагружен. Новые файлы лежат на диске, а сервер по-прежнему отдаёт старый сертификат.
  • Письмо для проверки уходит бывшему сотруднику. Убедитесь, что контактный адрес кто-то читает.
  • Один-единственный напоминатель. Уведомления в календаре закрывают не глядя. Надёжнее связка из автоматизации и внешнего мониторинга срока действия.

Если вы ещё выбираете хостинг

Хостинг со встроенным продлением SSL избавляет от всей этой рутины. На бесплатном тарифе We.Inc можно опубликовать до трёх сайтов из готовых шаблонов, например Nora Kessler Studio или Greenfield Renewables; ИИ-конструктор, который создаёт черновик сайта по описанию, доступен с тарифа Starter за $20 в месяц. Вы можете зарегистрироваться здесь.

Частые вопросы

Как продлить сертификат Let's Encrypt?

Выполните sudo certbot renew. Команда продлевает только сертификаты, срок которых близок к концу, поэтому её безопасно запускать по расписанию. В большинстве установок Certbot уже есть задача по расписанию, а sudo certbot renew --dry-run проверяет её работу, не сохраняя сертификаты.

Какой срок действия у SSL-сертификата в 2026 году?

До 15 марта 2026 года предел составлял 398 дней, сейчас он равен 200 дням. 15 марта 2027 года он станет 100 дней, а 15 марта 2029 года — 47 дней. Некоторые центры сертификации выдают сертификаты чуть короче предела.

Что будет, если SSL-сертификат истечёт?

Браузеры покажут полноэкранное предупреждение о безопасности, а строгие API-клиенты могут перестать работать. Установка продлённого сертификата решает проблему для посетителей без каких-либо действий с их стороны.

Продление — это то же самое, что покупка нового сертификата?

Обычно продление — это новый сертификат для того же домена с повторной проверкой. Цены и скидки зависят от поставщика, так что уточните у своего.

Почему перестало работать автопродление Let's Encrypt?

Проверьте, нет ли пропавшего таймера или записи cron, заблокированного порта 80, изменений DNS, сертификатов в ручном режиме без хука или wildcard-сертификата без DNS-плагина. certbot renew --dry-run покажет конкретную ошибку.

Начать бесплатно · Банковская карта не нужна

Umair Ali Sadaqat

Основатель We.Inc

Умайр — основатель We.Inc. Он пишет о создании сайтов с помощью ИИ, агентствах и ведении бизнеса веб-студии.

Готовы создать что-то стоящее?

Присоединяйтесь к 15,000+ компаний, которые с We.Inc запускаются, растут и автоматизируют работу — всё на одной платформе.

Начать бесплатно

Банковская карта не нужна · Связаться с отделом продаж

По теме: Блог

Продукт

Для кого

Возможности

Ресурсы

Компания

Карта сайта