Проверка SSL-сертификата: срок действия, кем выдан, совпадение с доменом

Сертификат SSL — причина, по которой адрес сайта начинается с https, а браузер не пугает посетителя красным предупреждением. Он решает две задачи: шифрует всё, что человек отправляет на сайт, и подтверждает, что сайт действительно тот, за кого себя выдаёт. Проверить чужой или свой сертификат можно прямо здесь: введите адрес без «https://» и посмотрите, кем он выдан, на какие имена выписан и сколько дней ему осталось.

Что показывает проверка

Мы открываем защищённое соединение с сервером на 443-м порту, забираем сертификат, который он отдаёт браузерам, и разбираем его по полям. В ответе будет вот что:

• Кому выдан — основное имя в сертификате. Обычно это домен, иногда — имя с подстановочным знаком вроде *.example.com.
• Кем выдан — удостоверяющий центр: Let's Encrypt, GlobalSign, Sectigo, DigiCert, ZeroSSL и другие.
• Действителен с … по … и сколько дней осталось. Если меньше двух недель, это повод проверить автопродление сегодня, а не в день истечения.
• Все имена сертификата — список SAN. Один сертификат почти всегда покрывает и example.com, и www.example.com, а у крупных сервисов там бывают десятки имён.
• Совпадает ли сертификат с доменом. Самая полезная строка: именно несовпадение чаще всего и ломает сайт.

Проверка идёт с нашего сервера, а не из вашего браузера. Это значит, что кеш и настройки вашего компьютера на результат не влияют — вы видите то же, что увидит любой посетитель.

Зачем сайту сертификат

Без https браузер помечает сайт как «Не защищено» и делает это всё настойчивее: рядом с любым полем ввода появляется предупреждение, а формы оплаты современные браузеры просто отказываются отправлять. Данные в открытом виде может прочитать кто угодно между посетителем и сервером — от владельца публичного Wi-Fi до провайдера.

Есть и поисковая сторона вопроса. Https давно входит в набор сигналов ранжирования, а главное — сайт без сертификата теряет посетителей ещё до загрузки страницы: человек видит предупреждение и уходит. Наконец, часть современных возможностей — геолокация, push-уведомления, service worker, HTTP/2 — работает только на защищённом соединении.

Какие бывают сертификаты

По уровню проверки владельца их три вида:

• DV (Domain Validation) — подтверждается только контроль над доменом. Выпускается за минуты, стоит от нуля. Это 95% сертификатов в интернете, и для сайта-визитки, блога, корпоративного сайта и большинства магазинов их достаточно.
• OV (Organization Validation) — удостоверяющий центр дополнительно проверяет существование юридического лица. В сертификате появляется название компании. Занимает несколько дней, стоит десятки долларов в год.
• EV (Extended Validation) — расширенная проверка организации. Раньше давала зелёную строку с названием компании в браузере, но эту строку убрали и в Chrome, и в Firefox, поэтому маркетинговая ценность EV почти исчезла. Остаётся смысл для банков и крупных финансовых сервисов.

По охвату имён: обычный сертификат на один домен, wildcard на все поддомены одного уровня (*.example.com закроет shop.example.com, но не a.b.example.com) и мультидоменный — список разных имён в одном сертификате.

Отдельно стоит развеять миф про «уровень шифрования». Бесплатный Let's Encrypt и сертификат за 300 долларов шифруют соединение абсолютно одинаково — алгоритм и длина ключа зависят от настроек сервера, а не от цены. Платите вы за проверку организации, страховку удостоверяющего центра и поддержку, а не за криптографию.

Почему ломается автопродление Let's Encrypt

Сертификаты Let's Encrypt живут 90 дней и продлеваются автоматически примерно за месяц до конца. Если проверка показывает отрицательное число дней или срок, который не сдвигается неделями, ищите причину среди этих:

• Закрыт путь /.well-known/acme-challenge/. Подтверждение идёт через файл в этом каталоге. Любое правило, которое редиректит всё подряд или требует авторизацию, ломает проверку. Исключите этот путь из редиректов.
• Сайт переехал на другой IP или спрятался за CDN, а запись в DNS указывает не туда, куда стучится удостоверяющий центр.
• Задание в планировщике не запускается. После переноса сервера или обновления панели строка в cron нередко теряется. Проверяется командой certbot renew --dry-run: она делает всё то же самое, но без расхода лимитов.
• Домен перестал резолвиться — закончилась регистрация или сменились NS-серверы. Сертификат тут вторичен: сначала лечится домен.
• Упёрлись в лимит выпусков. Let's Encrypt разрешает 5 одинаковых сертификатов в неделю; при отладке это исчерпывается за час. Лимит снимается сам через неделю.

Что означают ошибки браузера

• ERR_CERT_DATE_INVALID — срок действия истёк. Реже — часы на компьютере посетителя сбиты на месяцы вперёд или назад.
• ERR_CERT_COMMON_NAME_INVALID — сертификат выдан на другое имя. Классика: сертификат есть на example.com, а человек зашёл на www.example.com, которого в списке имён нет.
• ERR_CERT_AUTHORITY_INVALID — браузер не доверяет тому, кто выдал сертификат: он самоподписанный либо на сервере не поставили промежуточный сертификат цепочки. Второй случай коварен тем, что в одном браузере сайт открывается, а в другом нет.
• ERR_SSL_PROTOCOL_ERROR — договориться о соединении не удалось вовсе: на сервере выключен современный протокол TLS либо 443-й порт занят не тем сервисом.
• «Не полностью защищено» — сертификат в порядке, но страница подгружает картинки, стили или скрипты по http. Лечится заменой адресов в базе и в теме на относительные или https.

Как продлить и переустановить

На виртуальном хостинге всё делается в панели: раздел SSL, кнопка выпуска бесплатного сертификата и галочка автопродления. Если кнопка выдаёт ошибку, почти всегда виноват DNS — домен ещё не указывает на этот хостинг.

На своём сервере порядок такой: certbot renew продлевает то, что подходит к концу; certbot certonly --force-renewal выпускает заново, когда нужно добавить имя; после выпуска обязателен перезапуск веб-сервера, иначе он продолжит отдавать старый файл из памяти. После перезапуска проверьте результат этим инструментом — он читает сертификат так же, как браузер, и сразу покажет, подхватился ли новый.

Добавляя домен с www или новый поддомен, не забудьте включить его в сертификат: сам он туда не попадёт, и посетители увидят ошибку несовпадения имени.

Что проверить после установки

• Все адреса http перенаправляются на https одним редиректом с кодом 301, а не цепочкой из трёх.
• На страницах не осталось содержимого, загружаемого по http.
• Адреса сайта в настройках WordPress записаны через https.
• В Яндекс.Вебмастере указан главный адрес сайта, в Search Console добавлена версия с https.
• Записи в sitemap.xml и канонические адреса ведут на https.

Частые вопросы

Сертификат действует, а браузер всё равно ругается. Скорее всего не хватает промежуточного сертификата или имя не совпадает. Наша проверка показывает обе эти вещи отдельными строками.

Можно ли продлить сертификат заранее? Да, выпуск нового не ждёт истечения старого. Оставшиеся дни у платных сертификатов обычно прибавляются к новому сроку.

Нужен ли отдельный сертификат для поддомена? Нужен, если у вас обычный сертификат. Wildcard закрывает все поддомены одного уровня сразу.

Что будет, если сертификат истечёт? Сайт не исчезнет, но вместо него посетитель увидит предупреждение во весь экран и кнопку «Вернуться». Трафик падает почти до нуля в тот же день, поэтому дату окончания стоит держать под присмотром.

Рядом лежат другие проверки: на каком хостинге находится сайт, полный набор инструментов — домен, хостинг, IP, SSL и DNS на одной странице. Если только выбираете площадку, посмотрите разбор как выбрать хостинг и на чём не стоит экономить.

Смотрите также: поддомены сайта по журналам сертификатов — те же CT-логи, но с другой стороны, и проверка редиректа с http на https.