Як оновити SSL-сертифікат: автоматично і вручну

Як оновити SSL-сертифікат: автопродовження Let's Encrypt, покрокове оновлення платного сертифіката і підготовка до коротших термінів дії.

Поширені запитання

Як оновити сертифікат Let's Encrypt?

Виконайте `sudo certbot renew`. Команда оновлює лише ті сертифікати, термін дії яких майже закінчився, тож її безпечно запускати за розкладом. У більшості встановлень Certbot уже є заплановане завдання, яке це робить, а `sudo certbot renew --dry-run` перевіряє процес на тестовому (staging) сервері Let's Encrypt, не зберігаючи тестових сертифікатів.

Який термін дії SSL-сертифіката у 2026 році?

Згідно з ballot SC-081v3 від CA/Browser Forum, публічно довірені сертифікати до 15 березня 2026 року могли діяти щонайбільше 398 днів. Відтоді ліміт становить 200 днів. 15 березня 2027 року він зменшиться до 100 днів, а 15 березня 2029 року — до 47 днів. Деякі центри сертифікації видають сертифікати на трохи коротший строк, а Let's Encrypt має власний, ще коротший графік.

Що буде, якщо термін дії SSL-сертифіката закінчиться?

Браузери показують відвідувачам повноекранне попередження про небезпеку, і багато хто відмовиться продовжувати без ручного підтвердження. API-клієнти та інтеграції платежів чи входу, які суворо перевіряють сертифікати, можуть узагалі перестати працювати. Усе виправляє оновлення й установлення нового сертифіката, а відвідувачам нічого робити не потрібно, щойно новий сертифікат запрацює.

Чи оновлення — це те саме, що купівля нового сертифіката?

Для більшості платних сертифікатів оновлення — це новий сертифікат для того самого домену, зазвичай з повторною перевіркою домену та новим або повторно використаним CSR. Деякі постачальники дають знижку на оновлення чи включають його в пакет, інші сприймають його як звичайну покупку. Дізнайтеся політику оновлення у свого провайдера, а не розраховуйте на знижку заздалегідь.

Чому автопродовження Let's Encrypt перестало працювати?

Типові причини: видалений або вимкнений таймер чи завдання cron, веб-сервер більше не відповідає на HTTP-запит перевірки на порту 80, зміни в DNS, або сертифікат створено з опцією manual без хука автентифікації. Wildcard-сертифікатам для автоматичного оновлення потрібен DNS-плагін. Виконайте `sudo certbot renew --dry-run` і прочитайте помилку, яку воно виведе.

Коротко: якщо ваш сертифікат від Let's Encrypt, виконайте sudo certbot renew (або дозвольте це зробити запланованому завданню, яке ваш Certbot уже створив). Якщо ви купили його в центрі сертифікації або в реселера, оновіть його в панелі цього постачальника, повторно підтвердіть домен і встановіть нові файли сертифіката на сервер чи хостинг. Потім перевірте нову дату закінчення в браузері. Максимальні терміни дії сертифікатів також скорочуються, тож що раніше ви все автоматизуєте, то рідше доведеться робити це вручну.

Спочатку з'ясуйте, коли і де спливає ваш сертифікат

Перш ніж щось оновлювати, переконайтеся, що саме у вас є.

  1. Відкрийте сайт у Chrome, натисніть значок замка або іконку інформації про сайт, відкрийте відомості про сертифікат і запишіть дату «Дійсний до» ("Valid to") та видавця.
  2. Або перевірте з терміналу: echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -issuer
  3. Якщо видавець — Let's Encrypt, перейдіть до розділу про автопродовження нижче. Якщо це інший центр сертифікації, то, імовірно, у вас платний сертифікат і потрібні кроки для платного оновлення.
  4. Якщо ваш сайт працює на керованому хостингу або в конструкторі сайтів, платформа зазвичай сама піклується про оновлення. Перш ніж чіпати файли, пошукайте налаштування SSL або безпеки домену.

Не впевнені, який тип у вас? У посібнику з типів SSL-сертифікатів пояснено сертифікати з перевіркою домену, організації та розширеною перевіркою (EV), а основи розкрито в статті глосарія що таке SSL-сертифікат.

Який шлях оновлення вам підходить

Ваша ситуаціяЩо робитиЗусилля
Let's Encrypt через Certbot на власному серверіПереконайтеся, що заплановане завдання certbot renew працює, і протестуйте з --dry-runМало, здебільшого одноразово
Сертифікат від платного центру сертифікації або реселераОновіть у панелі постачальника, підтвердьте домен, встановіть нові файлиВручну, щоразу після закінчення терміну
Керований хостинг або конструктор сайтів із вбудованим SSLПеревірте налаштування SSL; оновлення зазвичай автоматичнеМінімальні
Сертифікат за CDN або балансувальником навантаженняОновлюйте на CDN чи балансувальнику, а не на вихідному серверіЗалежить від налаштувань

Оновлення сертифіката Let's Encrypt (автопродовження)

Сертифікати Let's Encrypt створені для того, щоб їх оновлювало програмне забезпечення. У документації Certbot сказано, що в більшості встановлень автоматичне оновлення вже налаштоване: заплановане завдання періодично запускає certbot renew.

Покроково

  1. Перевірте, що заплановане завдання існує. У системах із systemd виконайте systemctl list-timers і знайдіть таймер Certbot. В інших перегляньте crontab. Обидва місця описано в документації Certbot.
  2. Виконайте пробний запуск. sudo certbot renew --dry-run перевіряє оновлення на тестовому (staging) сервері Let's Encrypt. Воно отримує тестові сертифікати, але не зберігає їх на диск, тож безпечне для робочого сайту.
  3. Виправте те, про що воно повідомляє. Типові збої: брандмауер блокує порт 80, конфігурація веб-сервера більше не віддає шлях для перевірки, або DNS вказує кудись інде.
  4. За потреби оновіть одразу. sudo certbot renew чіпає лише сертифікати, термін дії яких наближається до кінця, тож повторні запуски нешкідливі.
  5. Перезавантажте веб-сервер після оновлення, якщо ваше налаштування не робить цього автоматично. Certbot підтримує deploy-хуки, які спрацьовують лише тоді, коли сертифікат справді було оновлено.
  6. Перевірте нову дату закінчення у браузері або командою openssl вище.

Випадки, коли автопродовження саме не спрацює

  • Сертифікати, створені з опцією Certbot --manual, не оновлюються автоматично, якщо не поєднати їх зі скриптом-хуком автентифікації.
  • Wildcard-сертифікати вимагають перевірки через DNS, тож для автоматичного оновлення без вашої участі потрібен DNS-плагін для вашого DNS-провайдера.
  • На серверах, які мігрували, були перебудовані або клоновані, таймер чи запис cron часто зникає, хоча файли сертифікатів перенесено.

Оновлюйте за розкладом, що витримає коротші терміни дії

Let's Encrypt оголосив, що 10 лютого 2027 року переведе свій типовий «classic»-профіль на 64-денні сертифікати, а 16 лютого 2028 року — на 45-денні. Їхня рекомендація: клієнти, які не використовують ACME Renewal Information (ARI), не повинні оновлювати сертифікати за жорстко заданим розкладом, а оновлення з фіксованим інтервалом у 60 днів незабаром перестане бути достатнім. Команда renew у Certbot вирішує, ґрунтуючись на тому, скільки терміну дії лишилося, і це безпечніший підхід. Оновлюйте Certbot і не обгортайте його власним скриптом із фіксованим інтервалом. Подробиці — в оголошенні Let's Encrypt про терміни дії.

Оновлення платного SSL-сертифіката

Платні сертифікати не оновлюються самі, якщо ваш постачальник або хостинг не налаштував автопродовження. Назви кнопок і меню в різних постачальників відрізняються, тож сприймайте це як загальну послідовність дій, а точні екрани шукайте в документації свого провайдера.

  1. Розпочніть оновлення в акаунті постачальника. Знайдіть сертифікат, термін дії якого добігає кінця, і виберіть «оновити», «перевипустити» або «замовити знову».
  2. Згенеруйте CSR. Багато серверів і панелей керування вміють створювати запит на підписання сертифіката (CSR). Деякі постачальники дозволяють повторно використати старий CSR, але зазвичай краще за звичку генерувати нову пару ключів.
  3. Пройдіть перевірку домену. Зазвичай потрібно підтвердити контроль над доменом листом на схвалену адресу, DNS-записом або файлом на вашому сайті. Сертифікати з перевіркою організації та розширеною перевіркою (EV) можуть також вимагати перевірки документів, тож починайте їх раніше.
  4. Завантажте видані файли. Зазвичай ви отримуєте сам сертифікат і пакет проміжних сертифікатів (ланцюжок).
  5. Встановіть їх на сервер, хостинг або CDN, а потім перезапустіть чи перезавантажте веб-сервер.
  6. Протестуйте. Завантажте сайт у новому вікні браузера, перевірте дату закінчення і переконайтеся, що немає попереджень про «неповний ланцюжок» чи змішаний вміст (mixed content).
  7. Оновіть нагадування і скасуйте автопродовження старого сертифіката, якщо ви змінили провайдера.

Якщо ви порівнюєте постачальників або цікавитеся, скільки має коштувати оновлення, дивіться посібник про вартість SSL-сертифікатів. Реєстрація домену продовжується окремо — про це йдеться в посібнику про вартість продовження домену.

Терміни дії сертифікатів скорочуються (перевірено в листопаді 2026)

У квітні 2025 року CA/Browser Forum ухвалив ballot SC-081v3. Він поетапно зменшує максимальний термін дії публічно довірених TLS-сертифікатів:

Видані не ранішеМаксимальний термін дії
До 15 березня 2026398 днів
15 березня 2026200 днів
15 березня 2027100 днів
15 березня 202947 днів

На практиці все, що ви оновлюєте вручну, тепер доводиться чіпати приблизно двічі на рік, з березня 2027 — приблизно чотири рази на рік, а до 2029 року — близько восьми разів на рік. Вікна повторного використання перевірки домену теж скорочуються, тож не можна розраховувати, що стара перевірка дозволить пропустити крок. Ліміти стосуються публічно довірених сертифікатів, тому приватні чи внутрішні центри сертифікації дотримуються власних правил.

Якщо ви досі оновлюєте вручну, реалістичні варіанти — перейти на центр сертифікації або хостинг із підтримкою автоматизованого випуску (ACME) або поставити перед сайтом керований рівень, наприклад свій хостинг чи CDN.

Чекліст оновлення SSL

Скопіюйте його в трекер вашої команди:

`` [ ] Перелічіть усі сертифікати: домен, видавець, дата закінчення, де встановлено [ ] Вкажіть, хто відповідає за кожне оновлення (ім'я, а не псевдонім команди) [ ] Налаштуйте нагадування за 30 і 14 днів до закінчення терміну [ ] Let's Encrypt: переконайтеся, що таймер Certbot або завдання cron існує [ ] Let's Encrypt: виконайте certbot renew --dry-run і усуньте помилки [ ] Wildcard: переконайтеся, що налаштовано DNS-плагін або хук [ ] Платні сертифікати: переконайтеся, що контактна пошта для перевірки або доступ до DNS досі працюють [ ] Згенеруйте новий CSR і ключ, якщо постачальник цього вимагає або радить [ ] Встановіть сертифікат І проміжний ланцюжок [ ] Перезавантажте веб-сервер, CDN або балансувальник навантаження [ ] Протестуйте сайт у новому вікні браузера і перевірте нову дату закінчення [ ] Перевірте піддомени, www і без www, а також усі кінцеві точки API [ ] Видаліть прострочені сертифікати і приберіть старі нагадування [ ] Плануйте 200 днів зараз і 100 днів з 15 березня 2027 року ``

Поширені помилки під час оновлення

  • Оновлення не того рівня. Якщо TLS завершується на CDN чи балансувальнику навантаження, оновлення сертифіката на вихідному сервері нічого не змінить для відвідувачів.
  • Забутий ланцюжок. Якщо встановити лише кінцевий сертифікат, в одному браузері все може працювати, а в іншому чи в API-клієнті — ні.
  • Сервер не перезавантажено. Нові файли можуть лежати на диску, поки сервер і далі віддає старий сертифікат.
  • Лист для перевірки йде колишньому співробітнику. Переконайтеся, що контактну адресу хтось читає.
  • Покладатися на одне нагадування. Сповіщення в календарі закривають. Автоматизація плюс зовнішній моніторинг терміну дії надійніші.

Якщо ви ще вибираєте, де розмістити сайт

Хостинг, що включає оновлення SSL, знімає з вас усю цю рутину. На безкоштовному тарифі We.Inc можна опублікувати до трьох сайтів із готових шаблонів, наприклад Nora Kessler Studio або Greenfield Renewables; AI-конструктор, який створює чернетку сайту за запитом, доступний із тарифу Starter за $20 на місяць. Ви можете зареєструватися тут.

Поширені запитання

Як оновити сертифікат Let's Encrypt?

Виконайте sudo certbot renew. Команда оновлює лише сертифікати, термін дії яких наближається до кінця, тож її безпечно запускати за розкладом. У більшості встановлень Certbot уже є заплановане завдання, а sudo certbot renew --dry-run перевіряє його, не зберігаючи сертифікатів.

Який термін дії SSL-сертифіката у 2026 році?

До 15 березня 2026 року ліміт становив 398 днів, а зараз — 200 днів. 15 березня 2027 року він стане 100 днів, а 15 березня 2029 року — 47 днів. Деякі центри сертифікації видають сертифікати на трохи коротший строк.

Що буде, якщо термін дії SSL-сертифіката закінчиться?

Браузери показують повноекранне попередження про небезпеку, а суворі API-клієнти можуть перестати працювати. Установлення оновленого сертифіката усуває проблему для відвідувачів без жодних дій з їхнього боку.

Чи оновлення — це те саме, що купівля нового сертифіката?

Зазвичай оновлення — це новий сертифікат для того самого домену з повторною перевіркою. Ціни та знижки залежать від постачальника, тож уточніть у свого.

Чому автопродовження Let's Encrypt перестало працювати?

Шукайте відсутній таймер чи запис cron, заблокований порт 80, зміни в DNS, сертифікати в режимі manual без хука або wildcard без DNS-плагіна. certbot renew --dry-run покаже конкретну помилку.

Почати безкоштовно · Банківська картка не потрібна

Umair Ali Sadaqat

Засновник We.Inc

Умайр — засновник We.Inc. Він пише про створення сайтів за допомогою ШІ, агенції та ведення бізнесу вебстудії.

Готові створити щось вартісне?

Приєднуйтеся до 15,000+ компаній, які з We.Inc запускаються, зростають і автоматизують роботу — усе на одній платформі.

Почати безкоштовно

Банківська картка не потрібна · Зв'язатися з відділом продажів

За темою: Блог

Продукт

Для кого

Можливості

Ресурси

Компанія

Карта сайту