Если вы привыкли раз в год покупать SSL-сертификат и вручную ставить его на сервер, в ближайшие годы от этой привычки придётся отказаться. В апреле 2025 года CA/Browser Forum, объединяющий разработчиков браузеров и удостоверяющие центры, принял решение SC-081. Оно поэтапно сокращает максимальный срок действия TLS-сертификатов, и к 2029 году он составит всего 47 дней.
График сокращения сроков
До 15 марта 2026 года сертификат мог действовать до 398 дней. С этой даты предел снижен до 200 дней, с марта 2027 года он составит 100 дней, а с марта 2029 года — 47 дней. Параллельно сокращается срок повторного использования проверки домена — к 2029 году до 10 дней.
| Дата | Максимальный срок сертификата | Повторное использование проверки домена |
|---|---|---|
| до 15.03.2026 | 398 дней | 398 дней |
| с 15.03.2026 | 200 дней | 200 дней |
| с 15.03.2027 | 100 дней | 100 дней |
| с 15.03.2029 | 47 дней | 10 дней |
Первый этап уже действует. Сертификат, заказанный сегодня, проработает не год, а максимум шесть с половиной месяцев. «Годовой» пакет у продавца теперь означает минимум два перевыпуска.
Зачем сокращают сроки
Главная причина — безопасность. Если закрытый ключ украден или утёк с сервера, злоумышленник может выдавать себя за ваш сайт всё время, пока сертификат действителен. Отзыв сертификатов в браузерах работает ненадёжно, поэтому короткий срок — самый простой способ сузить это окно.
Кроме того, домен может сменить владельца или сайт переехать, а старый сертификат продолжит работать ещё год, поэтому частая повторная проверка держит данные актуальными. И главное: отрасль подталкивают к автоматизации, ведь ручная операция раз в год легко забывается.
Что меняется для пользователей Let's Encrypt
Бесплатные сертификаты Let's Encrypt давно выпускаются на 90 дней, поэтому новым правилам они уже соответствуют. Let's Encrypt объявил о переходе на ещё более короткие, 45-дневные сертификаты. Сайты с автопродлением по ACME этого почти не заметят. Например, на хостинге sayt.uz сертификат Let's Encrypt ставится бесплатно, и панель продлевает его сама.
Пример: платный сертификат с ручным продлением
Представьте торговую компанию в Ташкенте, которая каждый ноябрь покупает годовой OV-сертификат. ИТ-специалист создаёт CSR, ждёт подтверждения, загружает файлы и перезапускает веб-сервер. Это полдня работы раз в год. Но после марта 2026 года ту же процедуру придётся повторять дважды в год, с 2027 года — четыре раза, а с 2029 года — примерно восемь раз.
Восемь ручных продлений в год рано или поздно приведут к ошибке. Однажды сотрудник уйдёт в отпуск, напоминание попадёт в спам, и сайт откроется с предупреждением браузера. Правильный путь для такой компании — автоматизация: выбрать коммерческий удостоверяющий центр с поддержкой ACME или, если OV и EV не обязательны, перейти на бесплатный сертификат с автопродлением.
Как устроена автоматизация
ACME превращает заказ, проверку домена и установку сертификата в полностью программный процесс. На Linux-серверах чаще всего используют certbot и acme.sh, а в хостинг-панелях это обычно отдельная настройка автопродления. Проверить, что продление работает, можно командой certbot renew --dry-run, а узнать реальную дату окончания текущего сертификата — командой openssl s_client -connect example.uz:443 -servername example.uz </dev/null | openssl x509 -noout -enddate.
Ошибки, которые мы видим чаще всего
Даже включённое автопродление может тихо перестать работать. Самый частый случай — DNS домена указывает на другой сервер. При проверке HTTP-01 удостоверяющий центр запрашивает специальный файл через домен, и если A-запись смотрит не туда, где продлевается сертификат, проверка проваливается, а старый сертификат истекает без всяких предупреждений.
Вторая типичная проблема — забытый сертификат почтового сервера. Сертификат сайта продлевает панель, а для почты, панели управления или API когда-то вручную поставили отдельный сертификат, о котором никто не помнит. В итоге Outlook у сотрудников вдруг начинает показывать ошибку сертификата.
Что сделать владельцу сайта уже сейчас
Составьте список всех сертификатов: сайт, поддомены, почта, панель управления, API и внутренние сервисы. Каждый сертификат с ручным продлением стоит автоматизировать до 2027 года.
- Включите автопродление в панели хостинга или настройте certbot либо acme.sh с таймером на своём сервере.
- Проверьте DNS: записи A и AAAA должны указывать на сервер, где выпускается сертификат.
- Для wildcard используйте DNS-01: сертификат
*.example.uzподтверждается только через DNS, поэтому подключите API вашего DNS к ACME-клиенту. - Настройте мониторинг, который предупредит за 14 дней до окончания срока.
Если ваш сайт размещён на хостинге sayt.uz, бесплатный SSL для домена и поддоменов уже продлевается автоматически, а от вас требуется лишь следить, чтобы DNS домена был направлен на хостинг. Эпоха коротких сертификатов не страшна — она просто отправляет ручную рутину в прошлое.