Agar saytingiz uchun SSL sertifikatni yiliga bir marta sotib olib, uni qo'lda o'rnatib yurgan bo'lsangiz, bu odat yaqin yillarda butunlay o'zgaradi. Brauzer ishlab chiquvchilari va sertifikat markazlarini birlashtirgan CA/Browser Forum 2025-yil aprelida SC-081 raqamli qarorni qabul qildi. Unga ko'ra TLS sertifikatlarining maksimal amal qilish muddati bosqichma-bosqich qisqartiriladi va 2029-yilga kelib atigi 47 kunni tashkil etadi. Bu qoida bepul sertifikatlarga ham, pullik sertifikatlarga ham birdek taalluqli.
Muddat qanday bosqichlarda qisqaradi
Qaror birdaniga kuchga kirmaydi, sertifikat egalariga moslashish uchun bir necha yil vaqt berilgan. 2026-yil 15-martgacha sertifikat ko'pi bilan 398 kun, ya'ni taxminan 13 oy amal qilishi mumkin edi. Shu sanadan boshlab chiqarilgan sertifikatlar uchun chegara 200 kunga tushdi, 2027-yil martidan 100 kunga, 2029-yil martidan esa 47 kunga tushadi. Shu bilan birga domen egaligini tasdiqlash natijasini qayta ishlatish muddati ham qisqaradi va 2029-yilga kelib 10 kunni tashkil etadi.
| Sana | Sertifikatning maksimal muddati | Domen tasdig'ini qayta ishlatish |
|---|---|---|
| 15-mart 2026-yilgacha | 398 kun | 398 kun |
| 15-mart 2026-yildan | 200 kun | 200 kun |
| 15-mart 2027-yildan | 100 kun | 100 kun |
| 15-mart 2029-yildan | 47 kun | 10 kun |
Jadvaldan ko'rinib turibdiki, birinchi bosqich allaqachon kuchga kirgan. Bugun yangi sertifikat buyurtma qilsangiz, u bir yil emas, eng ko'pi bilan olti yarim oy ishlaydi. Ba'zi sotuvchilar hali ham "bir yillik" paket taklif qiladi, lekin amalda bunday paket ichida sertifikat yil davomida kamida ikki marta qayta chiqariladi.
Nega muddat qisqartirilmoqda
Birinchi sabab xavfsizlik bilan bog'liq. Sertifikatning maxfiy kaliti o'g'irlansa yoki serverdan sizib chiqsa, hujumchi shu sertifikat amal qilgan butun davr mobaynida sizning saytingiz nomidan o'zini ko'rsatishi mumkin. Sertifikatni bekor qilish mexanizmi nazariy jihatdan bu muammoni hal qilishi kerak edi, ammo amalda brauzerlar bekor qilingan sertifikatlar ro'yxatini har doim ham ishonchli tekshirmaydi. Muddat qanchalik qisqa bo'lsa, o'g'irlangan kalitdan foydalanish oynasi ham shunchalik tor bo'ladi.
Ikkinchi sabab eskirgan ma'lumotlardir. Domen boshqa egaga o'tishi, kompaniya nomi o'zgarishi yoki sayt boshqa serverga ko'chishi mumkin, ammo eski sertifikat bir yil davomida ishlashda davom etadi. Domenni tez-tez qayta tasdiqlash sertifikat haqiqiy vaziyatni aks ettirishini ta'minlaydi. Uchinchi va ehtimol eng muhim sabab esa sanoatni avtomatlashtirishga undashdir: yiliga bir marta qilinadigan qo'lda ish unutiladi, xato bilan bajariladi va kutilmagan uzilishlarga olib keladi.
Let's Encrypt foydalanuvchilari uchun nima o'zgaradi
Bepul Let's Encrypt sertifikatlari uzoq vaqtdan beri 90 kunlik qilib chiqariladi, shuning uchun ular yangi qoidalarga allaqachon mos keladi. Let's Encrypt bundan ham qisqa, 45 kunlik sertifikatlarga o'tishini e'lon qilgan. Sertifikatni ACME protokoli orqali avtomatik yangilaydigan saytlar uchun bu deyarli sezilmaydi, chunki yangilash dasturi muddat tugashidan ancha oldin o'zi ishga tushadi. Masalan, sayt.uz hostingida Let's Encrypt sertifikati bepul o'rnatiladi va panel uni o'zi yangilab turadi, mijoz bu jarayonga aralashishi shart emas.
Misol: qo'lda yangilanadigan pullik sertifikat
Toshkentdagi bir savdo kompaniyasini tasavvur qiling. U har yili noyabrda sertifikat markazidan bir yillik OV sertifikat sotib oladi, IT xodimi CSR yaratadi, tasdiqlash xatini kutadi, fayllarni serverga yuklaydi va veb-serverni qayta ishga tushiradi. Bu ish yarim kun oladi va yiliga bir marta bo'lgani uchun hech kimga og'ir tuyulmaydi. Ammo 2026-yil martidan keyin xuddi shu jarayonni yiliga ikki marta, 2027-yildan to'rt marta, 2029-yildan esa taxminan sakkiz marta takrorlash kerak bo'ladi.
Yiliga sakkiz marta qo'lda yangilash nafaqat vaqt yo'qotish, balki muqarrar xato demakdir. Bir safar mas'ul xodim ta'tilda bo'ladi, boshqa safar eslatma xati spam papkasiga tushadi va sayt dushanba kuni ertalab brauzerda xavfsizlik ogohlantirishi bilan ochiladi. Shuning uchun bunday kompaniya uchun to'g'ri yo'l jarayonni avtomatlashtirishdir. Buning ikki varianti bor: ACME'ni qo'llab-quvvatlaydigan tijorat sertifikat markazini tanlash yoki, agar OV yoki EV talab qilinmasa, bepul avtomatik sertifikatga o'tish.
Avtomatlashtirish qanday ishlaydi
ACME protokoli sertifikat buyurtma qilish, domenni tasdiqlash va o'rnatishni to'liq dasturiy jarayonga aylantiradi. Linux serverda eng mashhur vositalar certbot va acme.sh, hosting panellarida esa bu funksiya odatda avtomatik yangilash sozlamasi ko'rinishida bo'ladi. Yirik tijorat sertifikat markazlari ham ACME orqali sertifikat berishni boshladi, shuning uchun pullik sertifikatdan voz kechmasdan ham avtomatlashtirish mumkin. Certbot o'rnatilgan serverda yangilash to'g'ri ishlashini certbot renew --dry-run buyrug'i bilan sinab ko'rsa bo'ladi.
Serverdagi sertifikat haqiqatan qachon tugashini bilish uchun esa openssl yordam beradi: openssl s_client -connect example.uz:443 -servername example.uz </dev/null | openssl x509 -noout -enddate. Bu buyruq joriy sertifikatning tugash sanasini ko'rsatadi va uni oddiy monitoring skriptiga qo'shish oson.
Biz tez-tez ko'radigan xatolar
Avtomatik yangilash yoqilgan bo'lsa ham, u jimgina ishdan chiqishi mumkin. Eng ko'p uchraydigan holat shuki, domen DNS yozuvi boshqa serverga yo'naltirilgan bo'ladi. HTTP-01 tasdiqlashda sertifikat markazi domen orqali maxsus faylni so'raydi va agar domen A yozuvi sertifikat yangilanayotgan serverga emas, boshqa joyga qarasa, tekshiruv muvaffaqiyatsiz tugaydi. Eski sertifikat esa hech qanday ogohlantirishsiz muddatini o'taydi, 47 kunlik davrda esa xatoni tuzatish uchun vaqt zaxirasi juda kam qoladi.
Ikkinchi keng tarqalgan muammo pochta serveri sertifikatining unutilishidir. Sayt sertifikati panel tomonidan yangilanadi, lekin pochta, boshqaruv paneli yoki API uchun alohida qo'lda o'rnatilgan sertifikat bor va u haqida hech kim eslamaydi. Natijada bir kuni xodimlarning Outlook yoki telefondagi pochta ilovasi sertifikat xatosini ko'rsata boshlaydi.
Sayt egasi hozir nima qilishi kerak
Avvalo barcha sertifikatlaringiz ro'yxatini tuzing. Unga asosiy saytdan tashqari subdomenlar, pochta serveri, hosting yoki server boshqaruv paneli, API va ichki xizmatlar kirishi kerak. Har biri qanday yangilanishini yozib qo'ying: avtomatikmi yoki kimdir qo'lda qiladimi. Qo'lda yangilanadigan har bir sertifikat 2027-yilgacha avtomatlashtirilishi kerak bo'lgan nomzoddir.
- Avtomatik yangilashni yoqing. Hosting panelida bu bitta sozlama, o'z serveringizda esa certbot yoki acme.sh va ularning taymeri.
- DNS'ni tekshiring. Domenning A va AAAA yozuvlari sertifikat chiqarilayotgan serverga qarashi kerak, aks holda HTTP-01 tasdiqlash ishlamaydi.
- Wildcard uchun DNS-01 dan foydalaning.
*.example.uzkabi sertifikat faqat DNS orqali tasdiqlanadi, shuning uchun DNS xizmatingiz API'sini ACME vositasiga ulang. - Monitoring o'rnating. Tugashiga 14 kun qolgan sertifikat haqida ogohlantiruvchi oddiy tekshiruv ham katta uzilishning oldini oladi.
Bu ishlarning ko'pchiligi bir martalik: to'g'ri sozlangan avtomatlashtirish keyin yillar davomida e'tiborsiz ishlaydi. Agar saytingiz sayt.uz hostingida joylashgan bo'lsa, asosiy domen va subdomenlar uchun bepul SSL allaqachon avtomatik yangilanadi, sizdan faqat domen DNS'i hostingga to'g'ri yo'naltirilganini kuzatib borish talab qilinadi. Qisqa muddatli sertifikatlar davri qo'rqinchli emas, u shunchaki qo'lda bajariladigan ishni tarixga aylantiradi.