SecScan

Как не допустить истечения SSL-сертификата

Как проверить срок SSL/TLS-сертификата, настроить автообновление Let's Encrypt, использовать полную цепочку (fullchain) и включить TLS 1.2/1.3.

К чему приводит просроченный сертификат

Когда срок сертификата истекает, браузеры показывают красное предупреждение, большинство посетителей уходит, а API и мобильные приложения перестают подключаться. Чаще всего причина проста: автообновление тихо перестало работать.

Автообновление Let's Encrypt

Сертификаты Let's Encrypt выдаются на 90 дней. Certbot обычно сам настраивает автообновление. Проверьте, что оно работает:

shell
sudo certbot renew --dry-run
systemctl list-timers | grep certbot
  • После обновления веб-сервер нужно перезагрузить (reload): --deploy-hook "systemctl reload nginx".
  • Настройте оповещения (мониторинг) за 30, 14 и 7 дней до окончания срока.

Полная цепочка (fullchain)

Устанавливайте на сервер не только сам сертификат, но и промежуточные (fullchain.pem) — иначе часть устройств сочтёт его недоверенным.

nginx
ssl_certificate     /etc/letsencrypt/live/domen.uz/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/domen.uz/privkey.pem;
ssl_protocols TLSv1.2 TLSv1.3;

Устаревшие протоколы

TLS 1.0 и 1.1 устарели и небезопасны. Оставьте только TLS 1.2 и 1.3 (строка ssl_protocols выше).

SecScan автоматически проверяет срок сертификата, цепочку, соответствие имени домена и включённость TLS 1.0/1.1.

Другие руководства