Истёк SSL-сертификат: что видит клиент и как починить

Утро понедельника, звонит клиент: «У вас сайт сломался, браузер пишет, что меня хотят обмануть». Вы открываете сайт — и правда, вместо главной страницы красный или серый экран с надписью «Ваше подключение не защищено». Сайт при этом работает, хостинг оплачен, никто ничего не менял. Почти всегда причина одна: истёк SSL-сертификат. Рассказываем простыми словами, что это значит, что видят ваши клиенты прямо сейчас и как всё починить, часто за 15 минут.

Что такое SSL-сертификат, если без терминов

Представьте, что сайт и браузер клиента переговариваются через трубку. SSL-сертификат — это паспорт сайта, который показывает браузеру: «Я действительно start-site.by, а не подделка, и разговор между нами никто не подслушает». Благодаря ему адрес начинается с https, а рядом с ним стоит значок замка или настроек.

У паспорта есть срок действия. Бесплатные сертификаты Let’s Encrypt живут 90 дней, платные — обычно год. Когда срок заканчивается, браузер перестаёт доверять сайту и честно предупреждает об этом каждого посетителя.

Что видит клиент, когда сертификат истёк

Это самая неприятная часть. Человек не видит ваш сайт вообще. Он видит предупреждение браузера, и выглядит оно по-разному:

• Chrome: «Подключение не защищено», код ошибки NET::ERR_CERT_DATE_INVALID, большая кнопка «Вернуться к безопасной странице».
• Яндекс Браузер: красный экран «Сайт может быть небезопасен» и предложение уйти.
• Safari на iPhone: «Это соединение не является частным» и та же кнопка назад.
• Firefox: «Предупреждение: вероятная угроза безопасности».

Чтобы всё-таки попасть на сайт, нужно нажать «Дополнительно» и «Перейти на сайт (небезопасно)». Так делает, по нашему опыту, очень небольшая часть людей. Остальные закрывают вкладку и идут к следующему сайту в выдаче. А некоторые ещё и запоминают, что «у этих был какой-то вирус».

Что ещё ломается вместе с сертификатом

• Реклама в Директе и Google Ads может быть остановлена: модерация не пускает трафик на сайты с ошибкой сертификата.
• Поисковые роботы видят проблему, и при долгом простое страницы могут проседать в выдаче.
• Онлайн-оплата перестаёт работать: платёжные системы не принимают запросы с сайта без действующего сертификата.
• Формы, интеграции с CRM, мобильные приложения, которые берут данные с сайта, начинают выдавать ошибки.
• Письма с почты на вашем домене иногда тоже затрагиваются, если почтовый сервер использует тот же сертификат.

Как убедиться, что проблема именно в сертификате

Похожие предупреждения бывают и по другим причинам, поэтому сначала проверим.

1. Нажмите на значок слева от адреса сайта, затем «Подключение не защищено» и «Сертификат недействителен». Там будет строка «Действителен до». Если дата в прошлом — вы нашли причину.
2. Проверьте дату и время на своём компьютере. Если часы сбились на год вперёд, браузер решит, что все сертификаты в мире истекли. Это бывает чаще, чем кажется.
3. Откройте сайт с телефона через мобильный интернет. Если там тоже ошибка, проблема на стороне сайта, а не вашего устройства.
4. Воспользуйтесь бесплатной онлайн-проверкой SSL, например SSL Labs: введите адрес и посмотрите срок действия и цепочку сертификатов.

Как починить: три типичные ситуации

Ситуация 1. Бесплатный Let’s Encrypt не продлился сам

Такие сертификаты должны продлеваться автоматически каждые 60-90 дней. Если не продлился, обычно виновато одно из трёх: домен переехал на другой сервер, сломалась настройка DNS, или в панели хостинга отключили автопродление.

• Зайдите в панель хостинга: Plesk, cPanel, ISPmanager или панель вашего провайдера.
• Найдите раздел «SSL/TLS сертификаты» или «Let’s Encrypt».
• Нажмите «Выпустить» или «Продлить» для своего домена. Отметьте вариант с www, если сайт открывается и с ним.
• Включите галочку автоматического продления.
• Обновите страницу сайта через пару минут, лучше в режиме инкогнито.

Если выпуск завершается ошибкой, чаще всего домен смотрит не на этот сервер. Тут уже нужно проверить DNS-записи у регистратора.

Ситуация 2. Платный сертификат на год закончился

Платные сертификаты сами не продлеваются, их нужно оплатить заново. Письмо с напоминанием регистратор обычно присылает за месяц, но оно часто уходит на почту человека, который давно не работает в компании.

• Найдите, где покупали сертификат: у регистратора домена, у хостинга или у отдельного продавца.
• Оплатите продление и пройдите подтверждение домена — по почте, через DNS-запись или файл на сайте.
• Установите новый сертификат в панели хостинга. Часто это делает поддержка хостинга по запросу.

Честный вопрос: нужен ли вам платный сертификат? Для большинства сайтов малого бизнеса бесплатного Let’s Encrypt полностью достаточно, а значит, можно перейти на него и забыть о ежегодной оплате.

Ситуация 3. Сертификат новый, но ошибка осталась

• Не установлена промежуточная цепочка. На компьютере сайт открывается, а на старых телефонах нет. Нужно установить полный комплект файлов, а не только основной сертификат.
• Сертификат выпущен без www или наоборот. Сайт открывается по одному адресу и ругается на другом.
• Кеш CDN или Cloudflare. Если сайт работает через прокси, сертификат нужно обновить и там.
• Смешанный контент. Замок есть, но с восклицательным знаком: часть картинок или скриптов грузится по http. Это лечится заменой ссылок на https.

Сколько стоит простой и почему это не мелочь

Возьмём обычный сайт услуг, которому поиск и реклама приносят 10 заявок в день. Сертификат истёк в пятницу вечером, заметили в понедельник днём. Это почти три дня, когда почти все посетители видели предупреждение. Даже если вернулась пятая часть, вы потеряли больше двадцати заявок. Плюс остановленная реклама, плюс клиенты, которые решили, что сайт заражён. Продление сертификата при этом стоит ноль рублей и пять минут времени.

Как сделать, чтобы это не повторилось

1. Включите автопродление Let’s Encrypt в панели хостинга и проверьте, что оно действительно сработало при следующем выпуске.
2. Поставьте напоминание в календарь за 2 недели до окончания срока, если сертификат платный.
3. Укажите актуальную почту у регистратора домена и хостинга. Лучше общую, вроде admin@, к которой есть доступ у нескольких человек.
4. Подключите бесплатный мониторинг, который проверяет сертификат и присылает уведомление в мессенджер, если срок заканчивается или сайт перестал открываться.
5. Держите доступы в одном месте: регистратор, хостинг, панель управления. Половина времени простоя обычно уходит на поиск пароля.

Подробнее про домен, хостинг и то, где обычно теряются доступы, мы писали в статье про домен и хостинг. А про сертификаты, резервные копии и защиту от взлома в целом — в материале о безопасности сайта простыми словами.

Если сайт на WordPress: на что ещё посмотреть

Большинство сайтов малого бизнеса в Беларуси работают на WordPress, и у них есть свои особенности, которые всплывают как раз после продления сертификата.

• Адрес сайта в настройках. В разделе «Настройки — Общие» оба поля адреса должны начинаться с https. Если там http, часть страниц будет открываться без защиты.
• Плагины «Really Simple SSL» и похожие. Они помогают перевести сайт на https, но иногда конфликтуют с настройками сервера и вызывают бесконечную переадресацию. Если после продления сайт перестал открываться совсем, первым делом попробуйте отключить такой плагин.
• Картинки и файлы в старых записях. В статьях пятилетней давности ссылки на изображения часто прописаны через http. Отсюда замок с восклицательным знаком. Исправляется массовой заменой адресов в базе, это лучше доверить разработчику.
• Кеширующие плагины. После установки нового сертификата очистите кеш в плагине, иначе посетители ещё какое-то время могут видеть старые версии страниц.

Как узнать срок сертификата заранее

Лучше один раз потратить две минуты и записать дату, чем потом узнавать о проблеме от клиентов. Самый простой способ — тот же значок слева от адреса сайта в браузере. Нажмите на него, откройте сведения о сертификате и найдите строку «Действителен до». Запишите дату в календарь и поставьте напоминание за две недели.

Второй способ — спросить у того, кто обслуживает сайт или хостинг. Хорошая поддержка ответит сразу и скажет, продлевается ли сертификат автоматически. Если в ответ звучит «а что это такое», это тревожный сигнал не только про сертификат.

Третий способ — бесплатные сервисы мониторинга. Многие из них умеют проверять не только доступность сайта, но и срок сертификата, и отправляют предупреждение в почту или Telegram за несколько недель. Настройка занимает пять минут и не требует технических знаний: вводите адрес сайта, указываете, куда присылать уведомления, и всё.

Если сайтов несколько, например основной, лендинг под акцию и интернет-магазин на отдельном домене, проверяйте каждый. Сертификаты у них выпускаются отдельно и заканчиваются в разные дни, а забытый лендинг под рекламу ломается обычно в самый неудобный момент.

Частые вопросы

Можно ли просто убрать https и вернуть http?

Нет. Браузеры помечают сайты на http как небезопасные, поиск понижает их, а все ссылки на https-версию сломаются. Это не решение, а новая проблема.

Взломали ли мой сайт?

Истёкший сертификат сам по себе не означает взлом. Это просто просроченный документ. Но если сайт давно никто не обслуживал, это хороший повод заодно проверить обновления и резервные копии.

Как быстро браузеры перестанут ругаться после продления?

Обычно сразу. Если у кого-то предупреждение висит дольше, помогает обновление страницы с очисткой кеша или открытие в режиме инкогнито.

Кто вообще должен за этим следить?

Тот, кто обслуживает сайт. Если сайт сдали и забыли, следить некому — и истёкший сертификат становится вопросом времени. Об этом подробно в статье про поддержку сайта после запуска.

Мы в Start Site делаем и обслуживаем сайты для бизнеса, и проверка сертификатов, доменов и резервных копий входит в обычную поддержку. Если у вас сейчас горит ошибка сертификата или вы просто не знаете, когда он истекает, напишите нам — посмотрим и поможем продлить, а заодно настроим, чтобы это больше не случалось внезапно.