Восемь утра, звонков нет, заявок нет. Открываете сайт с телефона — красный экран и надпись «Подключение не защищено». Клиенты видели её с полуночи и ушли к тем, у кого сайт открывается. SSL-сертификат истёк — авария редкая по причине и предсказуемая по последствиям: браузер не пускает посетителей, а поисковый робот получает ошибку вместо страницы. Ниже — что делать в первые пятнадцать минут, как выпустить новый сертификат, включая бесплатный, почему автопродление ломается и что потом чинить в индексации.
Первые 15 минут: порядок действий
Задача этих минут — вернуть сайт, а не понять причину. Причину разбираете потом.
- Убедитесь, что дело в сертификате. Щёлкните по замку в адресной строке и посмотрите дату окончания. Код ошибки браузера тоже говорит прямо: истёкший срок — это
NET::ERR_CERT_DATE_INVALID. Другие коды означают другую проблему, и лечатся они иначе. - Проверьте, что видит сервер, а не ваш браузер. Внешний онлайн-чекер сертификатов или консольный запрос
openssl s_client -connect ваш-домен.ru:443 -servername ваш-домен.ruпокажут настоящую дату. Браузер иногда держит старый сертификат в памяти и врёт в обе стороны. - Зайдите в панель хостинга в раздел SSL. В девяти случаях из десяти там есть кнопка перевыпуска бесплатного сертификата, и это самый быстрый путь. Нажали — ждите 1–3 минуты.
- Если кнопки нет или выпуск падает с ошибкой — переходите к разделу про выпуск вручную ниже. Не тратьте время на попытки «обновить страницу».
- Предупредите тех, кто принимает заявки. Пока сайт недоступен, звонки идут не вам. Телефон и мессенджер должны быть под рукой, а если есть карточка организации в картах — там телефон работает независимо от сайта.
- Не отключайте HTTPS «чтобы хоть как-то открывалось». Если сайт когда-либо отдавал заголовок
Strict-Transport-Security, браузеры постоянных посетителей откажутся открывать его по HTTP и не покажут кнопку «продолжить на свой риск». Вы сделаете хуже, а потом ещё и получите смешанный контент.
Почему сертификат истёк: три частые причины
«Само сломалось» не бывает. По моей практике первая причина из трёх даёт больше половины случаев.
- Автопродление молча перестало работать. Задача в планировщике удалена при переносе сайта, сменился путь к каталогу, обновилась панель, кончилось место на диске. Продление пробует отработать за месяц до конца срока, падает — и никто не читает лог.
- Проверка владения домена перестала проходить. Бесплатные сертификаты подтверждают домен запросом к файлу по адресу
/.well-known/acme-challenge/. Если на сайте появился общий редирект, правило закрыло каталог или заработало кеширование, проверка не проходит — и продление не выпускается.
Отдельная ловушка, на которую я натыкался лично: на сервере с двумя веб-серверами (когда впереди стоит nginx, а позади Apache) блок правил, разрешающий доступ к каталогу проверки, живёт в конфигурации nginx. Панель управления при обновлении настроек этот блок перезаписывает — и продление перестаёт работать бесшумно. Лечится тем, что блок восстанавливают и добавляют в список того, что проверяют после каждого изменения настроек сервера.
Как выпустить новый сертификат
| Вариант | Срок действия | Сколько занимает выпуск | Когда подходит |
|---|---|---|---|
| Бесплатный из панели хостинга | 90 дней, продлевается автоматически | 1–5 минут, одна кнопка | Почти всегда: сайт, магазин, блог, лендинг |
| Бесплатный через утилиту на сервере | 90 дней, продление по расписанию | 10–30 минут при первой настройке | Свой сервер без панели, много доменов, нестандартная конфигурация |
| Платный с проверкой домена | Обычно до года | От минут до часа | Когда нужна поддержка провайдера, гарантия и понятный счёт бухгалтерии |
Разницы в надёжности шифрования между бесплатным и платным сертификатом нет: замок в браузере выглядит одинаково, и поисковые системы их не различают. Отличаются срок действия, наличие поддержки и то, что именно проверяют перед выпуском. Бесплатного не хватает в двух случаях: когда нужна проверка организации в сертификате и когда важно, чтобы в момент аварии был провайдер, с которым можно разговаривать.
Автопродление: как убедиться, что оно работает
Автопродление настраивают один раз и потом не проверяют годами. Это и есть основная причина аварии. Проверка занимает десять минут и делается раз в квартал.
| Что проверяете | Как | Норма |
|---|---|---|
| Задача продления существует | Расписание в панели или список задач планировщика на сервере | Задача есть и запускается минимум раз в день |
| Пробное продление проходит | Запуск клиента в тестовом режиме | Отчёт без ошибок по всем доменам |
| Файл проверки доступен снаружи | Кладёте тестовый файл в /.well-known/acme-challenge/ и открываете по HTTP |
Отдаётся содержимое файла, код 200, без редиректа |
| Уведомления приходят на живой адрес | Контактная почта в панели и у центра сертификации | Ящик, который читает владелец, а не бывший подрядчик |
| Внешний мониторинг настроен | Сервис проверки доступности с оповещением | Письмо или сообщение при ошибке в течение нескольких минут |
Последняя строка важнее остальных. Простой ночью обнаруживается утром, а робот поисковика заходит на сайт круглосуточно и фиксирует ошибку сразу. Как настроить оповещение и почему бесплатной проверки раз в пять минут достаточно — в материале про то, что делать, когда сайт недоступен ночью.
Что делать с индексацией после простоя
Несколько часов недоступности обычно не приводят к катастрофе: робот повторяет обход. Но игнорировать простой нельзя — есть четыре последствия, которые нужно закрыть.
- Проверьте ошибки обхода в Вебмастере. Раздел с диагностикой покажет, сколько страниц робот не смог получить и когда. Если цифры большие, это ориентир, что придётся переобходить.
- Отправьте главные страницы на переобход. Ручная переиндексация ускоряет возврат: сначала главная и разделы услуг, потом остальное. Лимит на переобход ограничен, поэтому начинайте с того, что приносит деньги.
- Проверьте смешанный контент. После манипуляций с сертификатом на страницах остаются картинки, скрипты и стили по адресам с HTTP. Браузер блокирует их, и вместо сайта видна половина вёрстки. Искать их удобно обходом сайта краулером — как это делается, я описывал в материале про технический аудит за 20 минут.
Если после возвращения сайта позиции не восстановились за пару недель, дело почти наверняка не в сертификате, а в чём-то ещё — совпадение по времени обманчиво. Как отличить последствия аварии от алгоритмических изменений, я подробно разбирал в статье о том, что делать, когда сайт исчез из выдачи за одну ночь.
Чем истёкший сертификат отличается от других аварий
| Что видит посетитель | Что произошло | Что делать |
|---|---|---|
| «Подключение не защищено», код о дате сертификата | Срок сертификата закончился | Перевыпуск в панели или на сервере |
| Ошибка о несовпадении имени | Сертификат выпущен на другой домен или не покрывает «www» | Перевыпуск со всеми нужными именами |
| Ошибка о неизвестном центре сертификации | Сертификат самоподписанный или не установлена промежуточная цепочка | Доустановить цепочку или выпустить нормальный сертификат |
| «Сайт временно недоступен» | Сервер перегружен или упал — сертификат тут не при чём | Разбираться с сервером или с нагрузкой извне |
Последняя строка не шутка: посетитель, который получил предупреждение об опасности на вашем сайте, идёт искать вас заново и попадает на похожий домен. Как устроена эта схема и что делать, если клиенты уже пострадали, — в материале про фишинговый сайт под ваш бренд. А отличить сертификатную аварию от серверной помогает разбор ошибки 503: симптом снаружи похож, причина и лечение совершенно разные. Если сервер падает под потоком запросов, а не под своим весом, это третий сценарий — как его опознать, описано в материале про DDoS-атаку на сайт малого бизнеса.
Что сделать в тот же день, чтобы не повторилось
Авария закрыта — дальше три действия, которые занимают полчаса и снимают саму возможность повтора.
- Переведите контактную почту на свой адрес — в панели хостинга, у регистратора домена и у центра сертификации. Все предупреждения должны приходить владельцу.
- Поставьте внешний мониторинг с проверкой и доступности, и срока сертификата. Оповещение — в мессенджер, не только на почту.
Когда сертификат не решит проблему
- Сайт не открывается вообще, без предупреждения. Это не сертификат: смотрите домен, DNS и сервер.
- Позиции падали задолго до аварии. Сертификат вернёт доступность, но не исправит причины падения. Нужен разбор — с этого начинается SEO-аудит сайта.
- Вам предлагают дорогой сертификат «для SEO». Поисковые системы не различают типы сертификатов. Платить за цену вместо бесплатного варианта смысла нет, если только вам не нужны поддержка и гарантия провайдера.
- Проблема в скорости и вёрстке, а не в замке. Тогда лечится другое, и делает это техническая доработка сайта, а системная работа над трафиком — SEO-продвижение сайта в Яндексе, где доступность сайта просто одна из базовых проверок.
Коротко
- Первый шаг — посмотреть код ошибки: истёкший срок и несовпадение имени лечатся по-разному.
- Самый быстрый путь — кнопка перевыпуска бесплатного сертификата в панели хостинга. Обычно 1–5 минут.
- Главные причины аварии: сломанное автопродление и недоступность каталога проверки владения доменом.
- Раз в квартал проверяйте: задача продления, тестовое продление, доступность каталога проверки, список доменов в сертификате, живую контактную почту, место на диске.
- После простоя: ошибки обхода в Вебмастере, переобход главных страниц, поиск смешанного контента, один короткий редирект на HTTPS.
Частые вопросы
Почему бесплатный сертификат всего на 90 дней?
Короткий срок — сознательное решение: он вынуждает настроить автоматическое продление и уменьшает вред от утечки закрытого ключа. Продление проходит автоматически, обычно за месяц до конца срока, так что на практике срок значения не имеет. Значение имеет работающий планировщик.
Можно ли выпустить сертификат, если сайт уже недоступен?
Да, если сервер отвечает. Проверка владения доменом идёт либо запросом к файлу на сайте по HTTP — она работает и при просроченном сертификате, — либо через запись в DNS, и тогда сайт вообще не нужен. Второй путь выручает, когда веб-сервер лежит целиком.
Увеличьте позиции и продажи вашего сайта
Профессиональное SEO-продвижение с гарантией результата. Выберите подходящую услугу:
Остались вопросы по продвижению?
Меня зовут Анатолий Кузнецов, я SEO-оптимизатор с 20-летним стажем. Разберу ваш сайт, отвечу на вопросы и подскажу, что улучшить для роста позиций в Яндексе и Google.
Связаться со мной →
Старт 
Стандарт 
Премиум 
Комментарии
Виталий
Попал в эту историю в субботу. Кнопка в панели выдавала ошибку, я час не понимал почему. Оказалось — общий редирект всего трафика на главную, который сам же и поставил месяц назад. Каталог проверки тоже уезжал на главную.
Анатолий Кузнецов автор
Классика, и её же чаще всего не находят. Правило простое: любое общее правило редиректа должно иметь исключение для каталога проверки, и это исключение ставится выше самого редиректа по порядку. Проверяется в одну минуту — кладёте текстовый файл в этот каталог и открываете его по HTTP.
Елена
Уведомления об окончании приходили на почту разработчика, который сайт делал в 2019 году. Мы их не видели ни разу. Поменяла контактный адрес в панели — теперь письма приходят мне.
Станислав
Не согласен, что бесплатный не хуже платного. Хостер выпускает бесплатный автоматически, а когда что-то ломается — говорит «это не наша зона ответственности». У платного есть поддержка, которая разбирается. Для магазина с оплатой я бы не экономил.
Анатолий Кузнецов автор
С этим соглашусь, и я говорил именно про шифрование: по нему разницы нет. А вот по поддержке и по тому, с кем разговаривать в момент аварии, разница есть, и для магазина с приёмом платежей это аргумент. Добавлю только: поддержка не заменяет мониторинг.
Марина
Вопрос: у меня сайт открывается с предупреждением, а с телефона мужа — нормально. Это значит, что сертификат в порядке и дело во мне?
Анатолий Кузнецов автор
Скорее всего да. Проверьте три вещи: дата и время на устройстве (сбитые часы дают именно эту ошибку на всех сайтах сразу), включённый VPN или фильтрующий прокси, и антивирус, который подменяет сертификаты для проверки трафика. Ещё бывает кеш браузера — откройте в режиме инкогнито. Если в инкогнито чисто, дело точно в вашем устройстве.
Игорь
Добавлю причину, которой нет в списке: у нас автопродление упало из-за заполненного диска. Логи разрослись, места не осталось, клиент не смог записать новый сертификат. Диск почистили — продлилось само.
Оксана
Про пробный запуск продления не знала. Прогнала — нашлась ошибка на поддомене, который мы год назад выключили, а из списка доменов не убрали. Из-за него падало продление всего набора.
Анатолий Кузнецов автор
Это, пожалуй, самая частая находка при пробном запуске. Один недоступный домен в наборе роняет выпуск целиком — сертификат либо выдаётся на все перечисленные имена, либо не выдаётся вовсе. Поэтому при любом изменении структуры поддоменов список имён надо править сразу, а не «потом разберёмся». И перепроверять пробным запуском в тот же день.
Алла
У нас перед сайтом стоит сервис защиты. Сертификат на сервере обновился, а предупреждение осталось — оказалось, что старый висел именно на этом промежуточном узле. Искали два часа.
Павел
Вопрос новичка: а зачем вообще этот замок, если у меня простой сайт-визитка без оплаты и без формы? Может, проще жить по http?
Анатолий Кузнецов автор
Не проще. Браузеры давно помечают сайты без шифрования как небезопасные прямо в адресной строке, и человек видит это до того, как прочитает первую строчку. На визитке без формы техническая опасность действительно нулевая, а вот потеря доверия — вполне реальная. Плюс бесплатный сертификат ставится одной кнопкой и продлевается сам, так что экономии здесь никакой: вы не платите деньгами, вы платите только тем, что один раз проверили, работает ли автопродление.
Наталья
Пометка про заголовок принудительного HTTPS спасла. Хотела «временно отключить https», чтобы сайт открывался, — теперь понимаю, что сделала бы только хуже постоянным посетителям.
Артём
Раз в квартал теперь прохожу таблицу проверок целиком, занимает минут десять. За полгода поймал два раза: один раз пропал поддомен из списка, второй раз слетела задача в планировщике после переноса на другой тариф.