Домены и сертификаты: как избежать полного падения сайта из-за логов

Обсуждали с коллегами статью про проверку российских CT-логов — и поняли, что это не просто техническая нюанс, а прямая угроза для доступности сайта. Особенно если вы используете отечественные сертификаты или работаете с доменами, которые могут быть подписаны через российские УЦ.

О чём речь и почему это важно для сайта

Речь о том, что даже если сертификат выглядит «в порядке» — он может быть неприемлем для браузеров, если не прошёл проверку в специальных логах. Это не про «самоподписанный», а про те, что выданы официально, но не попали в систему прозрачности.

Я считаю это важным, потому что сайт может быть технически рабочим, но для пользователей — неприемлемым. И это не «погодка», а сбой, который наступает в самый неподходящий момент — в пик, на выставке, в день запуска. Потеря доверия и трафика — это не «возможно», а «всегда» при такой уязвимости.

Как это устроено — что тут вообще происходит

Суть в том, что браузеры (особенно Яндекс) теперь не просто проверяют, кто выдал сертификат, но и смотрят, был ли он записан в открытый лог — как в блокчейне. Если нет — сайт закрывается с сообщением «Подключение не защищено».

Это работает не только для «подозрительных» сертификатов. Даже если вы используете сертификат от российского УЦ, но он не попал в нужный CT-лог — браузер его не примет. И это не ошибка, а часть системы безопасности, которая мешает подмене трафика в реальном времени.

Как понять, что это касается вашего сайта («как я это проверяю»)

Я проверяю это первым делом, когда вижу, что сайт работает с отечественным УЦ. Не по названию, а по факту: поднимаю TLS-соединение, читаю сертификат и смотрю, где он выдан и есть ли в нём указание на CT-лог.

Если сертификат выдан на домен, который не входит в список доверенных логов Яндекса, или если логи обновлены, а старые ссылки не работают — это уже сигнал. Даже если всё «на бумаге» в порядке, технически сайт может быть недоступен для части пользователей.

Что с этим делать («что я делаю в таких случаях»)

Сначала — не паниковать. Я проверяю, в каком логе должен быть сертификат, и нахожу актуальные ссылки. Если логи изменились — обновляю конфигурацию и перепроверяю подпись.

Если сертификат уже выдан, но не прошёл проверку — пересоздаю его через УЦ, который гарантирует запись в актуальные логи. Или, если возможно, перехожу на Let's Encrypt с автопродлением — это надёжнее и не требует ручного контроля.

Что здесь даёт поддержка

Мы закрываем эту задачу на постоянной поддержке: проверяем все сертификаты и домены на соответствие актуальным CT-логам, включая российские. Если что-то не проходит — меняем или пересоздаём без простоя.

Просроченный сертификат или домен — предсказуемый и полностью предотвратимый сбой. У нас мониторинг доступности и ключевых страниц каждые несколько минут, 24/7. Это не просто проверка — это постоянная защита.

Приглашаю на бесплатный аудит сайта — проверим, как обстоят дела с безопасностью, доступностью и соответствие современным стандартам.