Домены и сертификаты — что делать, когда срок истекает
Прислали ссылку на статью про автоматизацию wildcard-сертификатов — и в ней оказалось не про технику, а про то, как не допустить, чтобы сайт перестал работать. Я уже начал проверять, как это работает на поддержке у клиентов.
О чём речь и почему я считаю это важным для сайта
Речь о том, что сертификаты HTTPS — не просто «надо», а критически важный элемент. Когда он просрочен, браузер не просто показывает «не защищено» — он блокирует весь сайт. Формы, оплата, переходы — всё останавливается. Это не «технический сбой», а прямой урон бизнесу.
Я считаю это важным, потому что у клиента нет времени на авралы. Он не знает, что сертификат просрочен, пока не увидит, как сайт закрылся. А у нас — мониторинг каждые несколько минут, 24/7. Это значит, что мы видим проблему раньше, чем клиент.
Как это устроено — что тут вообще происходит
Сертификаты, особенно wildcard, требуют сложной проверки. Чтобы выдать их, система должна доказать, что владеет доменом. Для обычного сайта — достаточно файла на сервере. Для wildcard-домена — нужно изменить DNS-запись.
Статья показывает, как это делают технически: через специальный DNS-сервер, который отвечает на запросы от центра выдачи. Но самое важное — не в технике, а в системе. Когда всё автоматизировано, сертификаты обновляются заранее, без перезагрузки, без риска сбоя. Это не «как-то работает», а «никогда не упадёт».
Как понять, что это касается вашего сайта
Если у вас есть HTTPS, если сайт работает через домен — это касается вас. Особенно, если у вас несколько поддоменов или вы используете wildcard. Даже если вы не знаете, что такое DNS-01 challenge — это не важно. Главное — понимать, что сертификаты нужно обновлять.
Я проверяю это первым делом: смотрю, какой центр выдачи выдал сертификат. Если это GlobalSign — уже тревога. Если срок истекает через 3 дня — тоже. Или если сайт отвечает на 443 порту, но с ошибкой TLS — это сигнал. У нас всё это проверяется автоматически.
Что с этим делать
Первое — не ждать. Если сертификат близок к концу, его нужно заменить. Не вручную, не в последний день. Система должна это делать сама.
Я в таких случаях начинаю с резервной копии. Потом проверяю, какой центр выдачи. Если это GlobalSign — сразу меняю на Let’s Encrypt с автопродлением. Если нет — убеждаюсь, что автоматизация работает. И да, даже если сайт работает — проверяю. Потому что «работает» — это не гарантия, что не упадёт завтра.
Что здесь даёт поддержка
На постоянной поддержке мы закрываем эту задачу так: мониторинг доступности и ключевых страниц каждые несколько минут, 24/7. Это значит, что просроченный сертификат или домен — это не сюрприз, а предсказуемый и полностью предотвратимый сбой.
Мы не ждём, пока клиент скажет. Мы видим, когда сертификат подходит к концу. И уже до этого момента — меняем его. Без простоя, без риска. Потому что у нас не просто проверка, а система, которая работает на фоне.