Истёк сертификат или домен: почему сайты пропадают «внезапно» и как этого не допустить

Утром пишет клиент: сайт не открывается. Сервер работает, код никто не трогал, хостинг оплачен. А браузер во весь экран показывает «Подключение не защищено». Или сайт не открывается совсем, и почта на домене заодно молчит. Причин у такого падения обычно две, и обе скучные: закончился SSL-сертификат или не продлили домен.

Ломаться тут нечему, это просто даты. Но пропускают их постоянно. Напоминание ушло на почту сотрудника, который уволился два года назад. Карта у регистратора просрочена. Автопродление сертификата перестало работать после переезда, и никто этого не заметил. Ниже разберём, как устроены оба срока, что меняется с сертификатами в ближайшие годы и что проверять, чтобы сайт не пропадал «внезапно».

Если хотите сначала посмотреть на свой сайт, проверьте срок сертификата и домена в нашем бесплатном инструменте. Он покажет обе даты и скажет, доверяют ли сертификату браузеры прямо сейчас.

Что ломается, когда истекает сертификат

Сертификат подтверждает браузеру, что он говорит именно с вашим сайтом, а не с подменой. В день окончания срока браузеры начинают показывать предупреждение вместо страницы. Нажать «всё равно перейти» решаются немногие, и правильно делают: именно так выглядит фишинг.

Посетители, которые видят предупреждение, это только видимая часть. Перестаёт работать всё, что обращается к сайту по HTTPS:

• формы заявок и оплата;
• уведомления платёжной системы о прошедших платежах;
• вебхуки CRM, обмен с 1С и складом;
• мобильное приложение, если оно ходит в API сайта.

Предупреждение в браузере заметят в первый же час. А то, что платёжная система третий день не может достучаться до сайта и заказы висят неоплаченными, обычно выясняется позже и дороже.

Есть и более хитрый случай: неполная цепочка сертификатов. Сервер должен отдавать вместе с сертификатом сайта промежуточный. Если не отдаёт, компьютерный Chrome часто достраивает цепочку сам, и в офисе всё выглядит нормально. А телефоны, старые браузеры и сервисы-интеграции получают ошибку. Наш инструмент такую ситуацию тоже показывает.

Сертификаты живут всё меньше

Раньше платный сертификат покупали на год и вспоминали о нём через год. Так больше не получится. Браузеры и удостоверяющие центры договорились постепенно сокращать максимальный срок публичных сертификатов:

• с марта 2026 года — не больше 200 дней;
• с марта 2027-го — 100 дней;
• с марта 2029-го — 47 дней.

Let's Encrypt и так выдаёт сертификаты на 90 дней, поэтому там, где стоит он, продление обычно давно автоматическое. С платными сертификатами сложнее. При сроке 47 дней продлевать вручную придётся почти восемь раз в год, и каждый раз не забыть установить новый сертификат на сервер. Рано или поздно кто-нибудь забудет.

Поэтому сертификат должен продлеваться сам: certbot, acme.sh или встроенное автопродление в панели хостинга. Часть удостоверяющих центров уже выдаёт и платные сертификаты по тому же протоколу ACME, что и Let's Encrypt, так что автоматизировать можно и их.

Автопродление тоже ломается

Самая коварная ситуация выглядит так. Автопродление настроили, все об этом знают, поэтому на даты никто не смотрит. А оно уже несколько месяцев не работает. Чаще всего причина в одном из этого:

• сайт переехал на другой сервер, а задание продления осталось на старом;
• поменяли DNS или включили прокси перед сайтом, и удостоверяющий центр больше не может проверить домен;
• закрыли порт 80 или настроили редирект, который ломает проверку;
• сертификат продлился, но веб-сервер его не перечитал и продолжает отдавать старый;
• добавили поддомен, а в сертификат он не попал.

Отсюда правило, которого мы держимся: смотреть надо не на то, настроено ли автопродление, а на то, какой сертификат сайт отдаёт на самом деле и сколько дней ему осталось. Это работа для внешнего мониторинга. Раз в сутки он заходит на сайт как обычный посетитель и пишет, если до окончания осталось меньше двух-трёх недель. Как настроить оповещения, чтобы их не перестали читать через месяц, мы писали в статье про алерты без ложных тревог.

Домен: paid-till и free-date

С доменом всё неприятнее, потому что вместе с сайтом пропадает почта. Для зон .ru, .рф и .su реестр публикует две даты, и разницу между ними полезно знать.

paid-till — до какого дня оплачена регистрация. В этот день домен снимают с делегирования: сайт перестаёт открываться, письма на почту домена не доходят. При этом домен всё ещё ваш, и его можно продлить.

free-date — последний день, когда продлить домен может только прежний владелец. Это примерно месяц после paid-till. Потом домен освобождается, и зарегистрировать его может кто угодно. За освобождающимися доменами следят перехватчики. Домен с историей и ссылками они забирают сразу, а потом предлагают выкупить или ставят на него свой сайт.

В международных зонах вроде .com, .net и .org период для продления после окончания срока обычно тоже есть, но его длительность зависит от регистратора. А сайт может перестать открываться уже в первый день.

Месяц между датами не повод расслабляться. Даже если продлить домен на следующий день после paid-till, сайт и почта успеют полежать, а после возврата делегирования изменения ещё какое-то время расходятся по DNS.

На кого оформлен домен

Об этом вспоминают в самый неудобный момент. Домен часто регистрирует подрядчик на себя, «чтобы было удобнее», или сотрудник на свой личный аккаунт. Пока всё хорошо, разницы никакой. Потом подрядчик перестаёт отвечать, сотрудник уходит, а напоминания о продлении приходят в ящик, который никто не открывает.

• Администратором домена должна быть ваша компания или вы лично, а не подрядчик. Проверьте это в личном кабинете регистратора, а если доступа нет, это уже ответ.
• Почта для уведомлений должна быть рабочей и общей, а не ящиком конкретного человека.
• Доступ к аккаунту регистратора нужен хотя бы двум людям в компании, пароль лучше хранить в менеджере паролей.
• Подрядчику, если он нужен, хватит доступа к управлению DNS. Логин владельца ему не нужен.

Не забудьте про DNS

Бывает, что домен оплачен, сертификат свежий, а сайт всё равно открывается не тот. Например, сменили хостинг, а DNS-записи до сих пор ведут на старый сервер. Или при переезде потеряли MX и SPF, и почта стала уходить в спам либо не доходить совсем.

После любых работ с доменом или хостингом загляните в инструмент «DNS-записи домена». Там видно, куда ведут основной адрес и www, кто принимает почту, есть ли SPF и DMARC и кто обслуживает DNS, то есть где эти записи вообще меняются. Если хочется подстраховаться на случай проблем с доменом, почитайте про резервную DNS-зону и запасной домен.

Чек-лист

Один раз, прямо сейчас:

• посмотреть даты сертификата и домена;
• включить автопродление домена у регистратора и проверить, что привязанная карта действует дольше домена, или сразу продлить домен на несколько лет;
• убедиться, что сертификат продлевается автоматически на том сервере, где сайт работает сейчас;
• проверить, на кого оформлен домен и куда приходят уведомления;
• сверить DNS-записи сайта и почты.

Дальше регулярно:

• если всё на автопродлении, смотреть сроки раз в месяц;
• если что-то продлевается вручную, ставить напоминание за 30 дней и ещё одно за неделю;
• после переезда, смены DNS или подключения прокси сразу проверить, что следующее продление пройдёт, например тестовым запуском certbot;
• а лучше настроить внешний мониторинг, который каждый день проверяет срок сертификата и предупреждает заранее.

Если не хочется держать это в голове

Следить за датами скучно, поэтому про них и забывают. В нашей технической поддержке контроль сертификата и домена входит в поддержку, тарифы от 5 000 ₽ в месяц: следим за сроками, продлеваем заранее и узнаём о проблеме раньше посетителей. Если у вас свой сервер и своя команда, а не хватает только оповещений, можно отдельно заказать настройку серверного мониторинга. Для небольших сайтов, где удобнее закрыть всю рутину одним договором, есть абонентское обслуживание.

Проверить свой сайт можно в инструменте «Срок SSL и домена», это бесплатно и без регистрации. Если в результатах что-то непонятно, напишите нам в Telegram или MAX.