Домены и сертификаты: как не потерять сайт из-за одного дня
разбирал ленту и остановился на статье про то, как выдавать SSL-сертификаты для доменов клиентов. Суть — простая, но риск огромный: если сертификат не обновится, сайт упадёт. А упадёт он не в удобное время — в самый пик. Это не авария, это неизбежность, если не закрыть рутину заранее.
О чём речь и почему я считаю это важным
Речь о том, что домен — это не просто имя, а ключ к доверию. Если у сайта просроченный SSL-сертификат, браузер показывает не «всё хорошо», а красный экран с «Подключение не защищено». Это не просто «технический сбой» — это прямой удар по конверсии.
Я считаю это важным, потому что такие сбои не случаются «по воле случая». Они предсказуемы, и их можно остановить. А если не остановить — клиенты уходят, формы заявок перестают работать, а в худшем случае — нарушение 152-ФЗ. Это не «возможно» — это «обязательно», если не следить.
Как это устроено — что тут вообще происходит
Когда клиент добавляет свой домен на сайт, система должна не просто «принять» его — она должна проверить, что сертификат для него есть, актуален и будет обновляться. В статье описано, как это делается через CNAME, DNS-проверку и автозапуск certbot. Но суть не в коде — в процессе.
На практике: домен вводится, проверяется, настраивается, сертификат выпускается. Но если не закрыть цикл автоматизации — он сломается. Сертификаты уходят в «просрочку» — и сайт падает. Особенно если это домен с российским УЦ, который больше не работает. Тогда даже «обновить» невозможно.
Как понять, что это касается вашего сайта
Я проверяю это первым делом: смотрю, кто выдал сертификат, и когда он истекает. Если это GlobalSign — сразу тревога. Это не просто «неудобно» — это риск, что в день истечения браузер блокирует доступ. И не потому что «хакеры», а потому что УЦ перестал обслуживать Россию.
Если срок меньше трёх дней — это уже не «проверить потом», а «сделать сейчас». Я смотрю, где домен указан, и проверяю, не входит ли он в список, где сертификаты выдаются вручную. Если да — это красный флаг.
Что с этим делать — что я делаю в таких случаях
Я начинаю с резервной копии. Потом — проверяю, кто выдал сертификат. Если это GlobalSign — сразу переключаюсь на Let's Encrypt с автопродлением. Это не «меняем всё» — это «заменяем источник».
Затем — настраиваю автоматическое обновление. Никаких «вручную» — только планировщик, который проверяет каждые 5 минут. Если домен есть в базе — сертификат должен быть жив. Если нет — он не нужен. Просто и надёжно.
Как закрываю задачу на поддержке
В нашей компании это не «одноразовый» фикс. Это часть регулярной проверки. Каждые несколько минут мониторинг проверяет актуальность сертификатов — и если срок меньше трёх дней, срабатывает оповещение.
Просроченный сертификат — это не авария. Это сбой, который можно предотвратить. И мы его предотвращаем. Потому что мониторинг работает каждые несколько минут, 24/7. И если что-то идёт не так — мы уже знаем, ещё до того, как клиент заметил.