Браузер манзил сатрида "Хавфсиз эмас" ёзуви чиққан сайтдан харидор буюртма беришга, бемор эса телефон рақамини қолдиришга иккиланади. SSL сертификати сайт билан фойдаланувчи ўртасидаги маълумотни шифрлайди ва манзилни https:// кўринишига ўтказади. Let's Encrypt сертификатлари бепул, улар 90 кунлик муддат билан берилади ва ISPmanager уларни муддати тугашидан олдин ўзи янгилаб туради. Демак, сертификатни бир марта тўғри ўрнатсангиз, кейин уни эслаб юришингиз шарт эмас.
Ўрнатишдан олдин: домен серверга қараб турганини текширинг
Let's Encrypt сертификат беришдан олдин домен ҳақиқатан сизнинг серверингизда эканини текширади. Бунинг учун у доменнинг A ёзуви кўрсатган IP манзилга HTTP орқали мурожаат қилиб, махсус текширув файлини ўқийди. Агар домен ҳали эски хостингга қараб турса, DNS ўзгариши тарқалмаган бўлса ёки сайт 80-портда очилмаса, сертификат чиқмайди. Шунинг учун аввал домен IP манзилини текширинг:
dig A misol.uz +short
dig A www.misol.uz +short
curl -I http://misol.uzИккала буйруқ ҳам хостинг серверингизнинг IP манзилини қайтариши, curl эса жавоб сарлавҳаларини кўрсатиши керак. Агар доменни яқинда sayt.uz кабинетида янги NS серверларга ўтказган бўлсангиз, ўзгариш тарқалиши учун бир неча соат кутиш керак бўлиши мумкин.
ISPmanager'да сертификат чиқариш
ISPmanager панелига кириб, чап менюдан "SSL сертификатлари" бўлимини очинг (SSL-сертификаты ёки SSL certificates). Юқоридаги тугмалар орасидан Let's Encrypt сертификатини яратиш вариантини танланг. Очилган ойнада қуйидагиларни кўрасиз:
- Домен — сертификат қайси сайт учун чиқарилиши, рўйхатдан сайтингизни танланг.
- Тахаллуслар —
www.misol.uzҳам рўйхатда бўлиши керак, акс ҳолда www билан кирганларга хато чиқади. - Wildcard —
*.misol.uzкаби барча субдоменлар учун сертификат. У DNS орқали текширилади, шунинг учун домен DNS'и хостинг серверида бўлмаса, бу вариант ишламаслиги мумкин. - Электрон почта — муҳим огоҳлантиришлар юбориладиган манзил.
Сақлагандан кейин панел сўров юборади ва бир неча дақиқа ичида сертификат рўйхатда фаол ҳолатда пайдо бўлади. Ҳолат "сўралмоқда" бўлиб узоқ қолиб кетса ёки хато кўрсатилса, қуйидаги хатолар бўлимига қаранг.
Сертификатни сайтга улаш ва HTTPS'га йўналтириш
Кўп ҳолларда ISPmanager янги сертификатни сайтга автоматик боғлайди, лекин буни бир марта текшириб қўйган маъқул. "Сайтлар" ёки "WWW-доменлар" бўлимида доменингизни таҳрирлаш ойнасини очинг. У ерда "Хавфсиз уланиш (SSL)" белгиси ёқилган ва рўйхатдан айнан янги Let's Encrypt сертификати танланган бўлиши керак. Шу ойнада "HTTP сўровларини HTTPS'га йўналтириш" белгисини ҳам ёқинг, шунда http://misol.uz га кирган ҳар бир ташрифчи автоматик равишда хавфсиз манзилга ўтади.
Баъзи панелларда HSTS опцияси ҳам бўлади. У браузерга сайтни кейинги сафар фақат HTTPS орқали очишни буюради. Бу фойдали, лекин HSTS ёқилгандан кейин HTTPS бузилиб қолса, ташрифчилар сайтга умуман кира олмай қолади. Шунинг учун HSTS'ни сертификат камида бир марта муваффақиятли янгиланганини кўргандан кейин ёқинг.
Мисол: мактаб сайти ва аралаш контент муаммоси
Намангандаги хусусий мактаб ўз сайтини misol.uz доменида WordPress'да юритади. Сертификат ўрнатилгандан кейин бош саҳифа HTTPS'да очилади, лекин браузер қулф белгиси ёнида огоҳлантириш кўрсатади. Сабаби оддий: мақолалардаги расмлар ва баъзи скриптлар ҳали ҳам http:// манзил билан базага ёзилган. Бу "аралаш контент" деб аталади. Аввал WordPress созламаларида сайт манзилини https://misol.uz га алмаштиринг, кейин базадаги эски ҳаволаларни янгиланг. SSH кириш бўлса, WP-CLI билан буни битта буйруқда қилиш мумкин:
wp search-replace 'http://misol.uz' 'https://misol.uz' --all-tables --dry-run
wp search-replace 'http://misol.uz' 'https://misol.uz' --all-tablesБиринчи буйруқ ҳеч нарсани ўзгартирмасдан нечта жой алмаштирилишини кўрсатади, иккинчиси эса ҳақиқий алмаштиришни бажаради. Бундан олдин албатта базанинг нусхасини олинг. SSH бўлмаса, худди шу ишни қилувчи ишончли плагиндан фойдаланиш мумкин.
Сертификат чиқмаса: энг кўп учрайдиган сабаблар
Биринчи сабаб DNS: домен ёки унинг www варианти бошқа IP манзилга қараб турган бўлади. Иккинчи сабаб .htaccess ёки сайт кодидаги қоидалар /.well-known/acme-challenge/ манзилига киришни блоклайди ёки уни бошқа саҳифага йўналтиради. Учинчиси Cloudflare каби прокси хизматлари: улар ёқилган бўлса, текширув сўрови тўғридан-тўғри серверингизга етиб бормаслиги мумкин. Тўртинчиси эса домен номидаги CAA ёзуви, агар у Let's Encrypt'га рухсат бермаса, сертификат рад этилади.
Шуни ҳам билиш муҳимки, Let's Encrypt қисқа вақт ичидаги муваффақиятсиз уринишлар сонини чеклайди. Хатони тузатмасдан тугмани қайта-қайта босиш фақат вақтинчалик блокка олиб келади. Аввал сабабни топиб тузатинг, кейин битта уриниш қилинг. Муаммо ҳал бўлмаса, домен номи ва хато матнини ёзиб sayt.uz техник ёрдамига тикет юборинг.
Сертификат ишлаётганини қандай текшириш
Браузерда қулф белгисини босиб, сертификат ким томонидан берилгани ва қачонгача амал қилишини кўриш мумкин. Буйруқ сатридан эса қуйидагича текширилади:
echo | openssl s_client -connect misol.uz:443 -servername misol.uz 2>/dev/null | openssl x509 -noout -issuer -datesНатижада сертификатни берган ташкилот ҳамда notBefore ва notAfter саналари чиқади. Агар notAfter санаси бир неча кун қолганига қарамай янгиланмаётган бўлса, домен DNS'и ўзгарган ёки текширув манзили блокланган бўлиши мумкин, чунки автоматик янгиланиш ҳам худди биринчи чиқаришдаги текширувдан ўтади.