Коли строк дії SSL-сертифіката закінчується, браузер може показувати попередження про небезпечне з’єднання, блокувати доступ до сайту або знижувати рівень довіри до нього. Для власника бізнесу це означає не лише технічну проблему: відвідувачі можуть припинити оформлення замовлень, надсилання форм чи оплату.
Важливо діяти послідовно. Спочатку потрібно встановити точну причину помилки, перевірити домен і конфігурацію сервера, а вже потім перевипускати та встановлювати сертифікат. Якщо сайт працює на WordPress або використовується складна серверна схема, перед змінами бажано зробити резервну копію файлів і бази даних.
Як розпізнати прострочений сертифікат
Найочевидніший симптом — повідомлення браузера на кшталт «Ваше з’єднання не захищене», «Сертифікат безпеки сайту прострочений» або NET::ERRCERTDATE_INVALID. У деяких браузерах точний текст може відрізнятися, але причина зазвичай відображається в інформації про сертифікат.
- Адреса сайту починається з
https://, але поруч із нею з’являється попередження. - На різних пристроях або в різних браузерах сайт відкривається по-різному.
- Платіжні сервіси, CRM або API перестають приймати запити.
- Відвідувачі повідомляють, що браузер блокує сторінку.
- У панелі хостингу або сервісу сертифікат позначений як expired, invalid чи inactive.
Однак не кожна помилка HTTPS означає, що сертифікат прострочений. Причиною може бути неправильний час на пристрої користувача, сертифікат для іншого домену, відсутній проміжний сертифікат або помилкова конфігурація вебсервера. Тому не варто одразу видаляти поточний сертифікат чи змінювати налаштування без перевірки.
Перевірка домену DNS і ланцюжка SSL
Перед перевипуском потрібно переконатися, що домен справді веде на потрібний сервер. Перевірте DNS-записи A, AAAA, CNAME та використання CDN або проксі-сервісу. Якщо домен вказує на іншу IP-адресу, новий сертифікат може встановитися не на той сервер, а відвідувачі й далі бачитимуть помилку.
Окремо перевірте всі варіанти адрес сайту:
example.com;www.example.com;- основний домен із
https://; - піддомени, на яких працюють пошта, адмінпанель або окремі сервіси.
SSL-сертифікат має охоплювати всі домени та піддомени, які використовуються. Якщо сертифікат випущено лише для одного варіанта, браузер може показувати помилку при переході на інший.
Також потрібно перевірити ланцюжок довіри. Сервер має передавати не лише основний сертифікат, а й необхідні проміжні сертифікати. Якщо ланцюжок неповний, частина браузерів і мобільних пристроїв може не розпізнати сертифікат як довірений, навіть якщо дата його завершення ще не настала.
Під час перевірки зверніть увагу на:
- дату початку та завершення дії сертифіката;
- доменне ім’я, для якого його випущено;
- відповідність сертифіката конкретному серверу;
- наявність проміжного сертифіката;
- налаштування TLS на вебсервері, CDN або балансувальнику.
Якщо сайт одночасно працює через хостинг, CDN і проксі, сертифікат може бути потрібен на кількох рівнях. Заміна його лише на хостингу не завжди усуває помилку, якщо зовнішній сервіс продовжує віддавати старий сертифікат.
Як перевипустити та встановити сертифікат
Перевипуск сертифіката зазвичай виконується в панелі хостингу, у реєстратора домену або в кабінеті сертифікаційного центру. Конкретний порядок залежить від способу підтвердження домену та серверного середовища.
- Перевірте, на кого оформлений сертифікат і де він керується.
- Запустіть перевипуск або створіть новий запит на сертифікат.
- Підтвердьте володіння доменом через DNS-запис, файл на сайті або службову електронну адресу.
- Отримайте сертифікат, приватний ключ і проміжний ланцюжок, якщо вони надаються окремо.
- Встановіть їх на правильний сервер або в налаштування CDN.
- Перезапустіть вебсервер, якщо це потрібно для застосування конфігурації.
- Перевірте сайт у кількох браузерах і на різних пристроях.
Приватний ключ не можна передавати стороннім особам або зберігати у відкритому доступі. Якщо ключ загублено, пошкоджено або він не відповідає новому сертифікату, зазвичай потрібно створити нову пару ключів і перевипустити сертифікат.
Для Apache у конфігурації можуть бути вказані шляхи до файлів сертифіката, приватного ключа та ланцюжка. У Nginx важливо правильно задати файл із сертифікатом разом із проміжним ланцюжком. На керованому хостингу ці дії часто виконуються автоматично, але результат все одно потрібно перевірити вручну.
Не редагуйте конфігурацію вебсервера навмання. Помилка в синтаксисі або неправильний шлях до файлу може призвести до недоступності сайту. Перед змінами збережіть копію конфігураційних файлів, а після редагування перевірте конфігурацію штатною командою тестування сервера.
Якщо після встановлення нового сертифіката браузер продовжує показувати стару дату, перевірте, який сервер фактично обслуговує домен, чи не використовується кеш CDN і чи не залишився старий сертифікат на одному з підключених IP-адрес.
Що робити з кешем і редиректами HTTPS
Після заміни сертифіката сайт може працювати правильно на сервері, але користувачі ще певний час бачитимуть стару помилку через кеш браузера, CDN або проксі. Відкрийте сайт у приватному вікні, очистіть кеш для домену та перевірте сторінки з різних мереж.
Переконайтеся, що всі варіанти адреси коректно перенаправляються на основну HTTPS-версію:
- із
http://наhttps://; - між версіями з
wwwі безwww; - для внутрішніх сторінок, а не лише для головної.
Редирект має вести без зайвих проміжних переходів. Ланцюжок на кшталт http → http з www → https без www уповільнює завантаження та може створювати помилки. Водночас не слід без перевірки вмикати жорсткі політики HTTPS або змінювати .htaccess: неправильне правило здатне спричинити цикл перенаправлень і зробити сайт недоступним.
Після встановлення сертифіката перевірте змішаний контент. Якщо HTML відкривається через HTTPS, але зображення, стилі, скрипти або шрифти завантажуються через HTTP, браузер може блокувати частину ресурсів. У WordPress адреси сайту зазвичай потрібно перевірити в загальних налаштуваннях, базі даних, конфігурації теми та плагінів.
Перед масовою заміною адрес у базі даних зробіть резервну копію. Некоректна заміна може пошкодити серіалізовані дані WordPress або зламати посилання на медіафайли. Якщо сайт має складну структуру, безпечніше виконувати такі зміни інструментами, які враховують формат даних WordPress.
Як налаштувати контроль строку дії
Прострочений сертифікат часто стає проблемою не через складність перевипуску, а через відсутність контролю. Визначте всі сертифікати, які використовуються сайтом, піддоменами, поштовими сервісами, API, CDN і тестовими середовищами.
- Збережіть дати завершення дії в календарі або системі моніторингу.
- Налаштуйте сповіщення заздалегідь, а не в день завершення сертифіката.
- Перевіряйте не лише головний домен, а й усі піддомени.
- Контролюйте відповідність DNS-записів фактичному серверу.
- Періодично перевіряйте ланцюжок сертифікатів і доступність HTTPS із різних мереж.
- Переконайтеся, що автоматичне продовження має доступ до DNS або вебсервера.
Автоматичне оновлення зменшує ризик людської помилки, але його не можна вважати повністю безконтрольним. Після продовження сертифіката система може не пройти перевірку домену, не мати доступу до потрібного каталогу або не перезапустити вебсервер. Тому корисно налаштувати окрему перевірку фактичної дати дії сертифіката та повідомлення про помилку продовження.
Якщо сайт уже недоступний, є помилки на сервері, втрачено доступ до панелі керування або незрозуміло, де саме встановлений сертифікат, краще залучити спеціаліста. Під час діагностики він зможе визначити реальну точку завершення TLS-з’єднання, перевірити конфігурацію, DNS, CDN і безпечно відновити роботу сайту без необґрунтованих змін у файлах чи базі даних.