Срок действия TLS-сертификатов: как избежать сбоя HTTPS
Проверка HTTPS-сертификатов: инвентаризация доменов, автоматическое продление, предупреждения и контроль отказов.
Забытый сертификат приводит к предупреждениям браузера даже при исправном сервере. Надёжность HTTPS зависит от полного пути: DNS, проверки домена, выпуска сертификата, установки и перезагрузки нужного сервиса.
01. Соберите список доменов и точек TLS
Один сайт часто имеет несколько независимых сертификатов.
- Укажите основной домен, www, поддомены, почтовые сервисы, API и точки CDN, где завершается TLS.
- Запишите, кто выпускает сертификат и как он попадает в веб-сервер, балансировщик или панель управления.
- Проверьте цепочку промежуточных сертификатов и соответствие имён SAN реальным маршрутам.
- Результат: ни один важный адрес не остаётся вне контроля истечения.
02. Проверьте автоматическое продление
Наличие автозадачи ещё не доказывает результат.
- Выясните способ проверки домена ACME: HTTP-01 или DNS-01 и доступность необходимых ресурсов.
- Проверьте состояние задания обновления, права доступа к ключам и календарь ближайших истечений.
- Тестируйте процесс в режиме, который не превышает лимиты выпуска и не заменяет рабочие ключи без необходимости.
- Результат: известен успешный путь выдачи нового сертификата до истечения старого.
03. Контролируйте применение нового сертификата
Файл на диске может обновиться, а сервер продолжить отдавать старый.
- Сопоставьте сертификат на диске с фактически выдаваемым клиентам на 443 порту.
- Проверьте reload нужного сервиса и корректность конфигурации до перезапуска.
- Учтите независимые сертификаты CDN и reverse proxy, которые могут иметь другие сроки обновления.
- Результат: браузер получает ожидаемую цепочку для правильного имени, а не прежний сертификат.
04. Настройте ранние сигналы
О проблеме лучше знать до обращения клиентов.
- Отслеживайте оставшийся срок извне, а не только на сервере, по каждому критическому имени.
- Отдельно сигнализируйте ошибки автоматического обновления и недоступность ACME-проверки.
- Проверьте, куда придёт уведомление, если на том же сервере отказала корпоративная почта.
- Результат: ответственный получает сигнал до остановки, а не после появления ошибки в браузере.
05. Испытайте восстановление
Нужно понимать, почему очередное продление не сработало.
- Проверьте DNS, доступность challenge-URL, записи CAA и ограничения сети.
- Не удаляйте приватный ключ и действующий сертификат при диагностике без плана восстановления.
- При переходе на другой центр сертификации проверьте совместимость с клиентами и цепочку доверия.
- Результат: есть короткий сценарий диагностики и безопасный путь установки сертификата.
06. Зафиксируйте рабочий регламент
Ответственность должна быть независима от одного администратора.
- Документируйте название домена, владельца, систему выпуска, контакты и событие успешного продления.
- Проводите проверку после изменения DNS, переноса хостинга, подключения CDN или нового поддомена.
- Регулярно проверяйте реальные HTTPS-запросы и даты окончания сертификатов, не создавая лишних перезапусков.
- Результат: продление TLS работает как незаметная регулярная эксплуатация.
Редакционный материал, октябрь 2026 года. Проверяйте применимость методов к вашей конфигурации и действующим требованиям.