Подробный гайд: Руководство по обновлению сертификатов 2026
Полный гайд по изменениям и лучшим практикам
Ключевые изменения 2026 года
Сокращение срока действия сертификатов
С 15 марта 2026 года вступили в силу новые правила от CA/Browser Forum (пропозиция SC-081v3):
| Период | Максимальный срок действия |
|---|---|
| До 15.03.2026 | 398 дней (~13 месяцев) |
| С 15.03.2026 | 199-200 дней |
| С марта 2027 | ~100 дней |
| С марта 2029 | ~47 дней |
Важно: Это означает, что частота обновлений сертификатов увеличится в 2-8 раз по сравнению с предыдущей практикой.
Почему это происходит?
- Повышение безопасности: при компрометации ключа злоумышленник имеет меньше времени для атаки
- Ускорение перехода на новые криптоалгоритмы
- Более частая проверка владения доменом
- Подготовка инфраструктуры к пост-квантовой криптографии
Процесс обновления: пошаговый алгоритм
Шаг 1: Инвентаризация сертификатов
# Пример проверки сертификата через OpenSSL
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com </dev/null 2>/dev/null | openssl x509 -noout -dates -subject -issuer
Создайте реестр всех сертификатов:
- Домены и поддомены (SAN)
- Тип сертификата (DV/OV/EV)
- Центр сертификации (CA)
- Дата истечения
- Место развертывания (сервер, CDN, балансировщик)
Шаг 2: Выбор метода обновления
Автоматическое (рекомендуется)
# Пример для Let's Encrypt + certbot
certbot renew --dry-run # Тестовая проверка
certbot renew # Фактическое обновление
# Для автоматизации добавьте в crontab:
0 3 * * * /usr/bin/certbot renew --quiet
Преимущества ACME-автоматизации:
- Нулевое время простоя
- Автоматическая валидация домена
- Поддержка wildcard-сертификатов
- Интеграция с популярными веб-серверами
Ручное обновление (для OV/EV сертификатов)
- Сгенерируйте новый CSR (Certificate Signing Request)
- Пройдите проверку валидации (DV/OV/EV)
- Получите новый сертификат от CA
- Установите на сервер и перезагрузите сервис
Шаг 3: Разделение этапов выпуска и развертывания
Критически важно: успешный выпуск не равно успешное развертывание
Правильный процесс:
1. Выпуск сертификата (issuance)
2. Копирование на все узлы (deployment)
3. Перезагрузка сервисов (reload)
4. Внешняя верификация (verification)
5. Логирование и алертинг (audit)
Шаг 4: Верификация после обновления
# Проверка установленного сертификата
echo | openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -enddate
# Проверка цепочки доверия
openssl s_client -connect yourdomain.com:443 -showcerts </dev/null 2>/dev/null | grep "Certificate chain" -A 3
Что проверять:
- Дата истечения (должна быть актуальной)
- Полный список доменов в SAN
- Корректность цепочки доверия
- Отсутствие смешанного контента (HTTP/HTTPS)
Инструменты автоматизации
Для небольших проектов
| Инструмент | Особенности | Подходит для |
|---|---|---|
| Certbot | Бесплатный, поддержка всех основных ОС | Let's Encrypt, небольшие сайты |
| acme.sh | Легковесный, чистый bash-скрипт | Встраиваемые системы, Docker |
| Caddy | Встроенная авто-конфигурация HTTPS | Новые проекты, микросервисы |
Для корпоративной инфраструктуры
| Решение | Ключевые функции |
|---|---|
| HashiCorp Vault | Централизованное управление секретами, PKI-модуль |
| Smallstep | Внутренний CA, ACME-совместимость, CLI/API |
| Venafi / Keyfactor | Enterprise-управление жизненным циклом сертификатов |
Облачные платформы
- AWS ACM: автоматическое обновление для ALB/CloudFront
- Google Cloud Certificate Manager: интеграция с Load Balancing
- Azure Key Vault: управление сертификатами + мониторинг истечения
Чек-лист перед обновлением
[ ] 1. Проверить текущую дату истечения всех сертификатов
[ ] 2. Убедиться в наличии бэкапа конфигурации сервера
[ ] 3. Протестировать новый сертификат в staging-среде
[ ] 4. Подготовить план отката (rollback)
[ ] 5. Настроить мониторинг и алерты на истечение (30/14/7 дней)
[ ] 6. Проверить покрытие всех SAN-доменов
[ ] 7. Убедиться в актуальности промежуточных сертификатов
[ ] 8. Протестировать с разных гео-локаций и протоколов (IPv4/IPv6)
Пример: автоматизация через acme.sh + Nginx
# 1. Установка acme.sh
curl https://get.acme.sh | sh -s email=your@email.com
# 2. Выпуск wildcard-сертификата (DNS-валидация)
acme.sh --issue --dns dns_cf -d example.com -d '*.example.com'
# 3. Установка сертификата
acme.sh --install-cert -d example.com \
--key-file /etc/nginx/ssl/example.com.key \
--fullchain-file /etc/nginx/ssl/example.com.crt \
--reloadcmd "systemctl reload nginx"
# 4. Проверка авто-обновления
acme.sh --renew -d example.com --force
Особенности для CDN и распределённых систем
При использовании Cloudflare, AWS CloudFront или аналогов:
- Обновляйте сертификат на origin-сервере, затем синхронизируйте с CDN
- Проверяйте распространение с нескольких гео-точек
- Учитывайте TTL кэша — изменения могут применяться не мгновенно
- Тестируйте IPv4 и IPv6 — возможна асинхронная синхронизация
Совет: используйте инструменты типа SSL Labs (ssllabs.com/ssltest/) или UpScanX (upscanx.com) для внешней валидации.
Мониторинг и алертинг
Настройте уведомления о приближении истечения:
# Пример для Prometheus + Alertmanager
groups:
- name: ssl_expiry
rules:
- alert: SSLCertificateExpiringSoon
expr: probe_ssl_earliest_cert_expiry - time() < 86400*30
for: 1h
labels:
severity: warning
annotations:
summary: "SSL-сертификат истекает через < 30 дней"
Рекомендуемые пороги алертов:
- 30 дней: планирование обновления
- 14 дней: эскалация ответственному
- 7 дней: критический инцидент
Частые вопросы
В: Нужно ли платить чаще за коммерческие сертификаты?
О: Нет. Большинство ЦС перешли на модель подписки: вы оплачиваете 1-3 года, а сертификаты перевыпускаются автоматически внутри этого периода без дополнительной оплаты.
В: Что будет, если сертификат истечёт?
О: Браузеры покажут предупреждение «Небезопасное соединение», что приведёт к потере доверия пользователей, снижению конверсии и возможному падению в поисковой выдаче.
В: Работает ли Let's Encrypt с новыми правилами?
О: Да. Let's Encrypt уже выдаёт сертификаты со сроком ~90 дней и активно развивает поддержку 45-дневных сертификатов через ACME-профили.
В: Как быть с внутренними (приватными) сертификатами?
О: На них не распространяются правила публичных ЦС, но рекомендуется применять те же практики: автоматизация, мониторинг, короткие сроки жизни.
Итоговые рекомендации
- Автоматизируйте всё, что можно — ручное обновление становится слишком рискованным при частоте 2-8 раз в год
- Разделяйте выпуск и развертывание — успех одного не гарантирует успех другого
- Верифицируйте извне — проверяйте то, что видят реальные пользователи
- Документируйте и логируйте — аудит помогает при инцидентах и комплаенсе
- Планируйте заранее — миграция на новые правила требует времени
Главный принцип 2026: управление сертификатами — это не разовое событие, а непрерывный процесс, интегрированный в DevOps-цикл.
Источники: данные актуальны на май 2026 года, основаны на официальных анонсах CA/Browser Forum, DigiCert, GlobalSign, Let's Encrypt и отраслевых аналитических материалах.
Мы делимся этой технической информацией, чтобы помочь вам в решении задач — используйте её с пониманием. Статья носит рекомендательный характер, поэтому, пожалуйста, применяйте описанные методы осмотрительно.