SSL сертификатни йилига бир марта сотиб олиб, қўлда ўрнатиш одати яқин йилларда тугайди. CA/Browser Forum 2025 йил апрелида SC-081 қарорини қабул қилди. Унга кўра TLS сертификатларининг максимал амал қилиш муддати босқичма-босқич қисқартирилади ва 2029 йилга келиб атиги 47 кунни ташкил этади.
Муддат қандай босқичларда қисқаради
2026 йил 15 мартгача сертификат кўпи билан 398 кун амал қилиши мумкин эди. Шу санадан бошлаб чегара 200 кунга тушди, 2027 йил мартидан 100 кунга, 2029 йил мартидан эса 47 кунга тушади. Домен эгалигини тасдиқлаш натижасини қайта ишлатиш муддати ҳам қисқариб, 2029 йилга келиб 10 кунни ташкил этади.
| Сана | Сертификатнинг максимал муддати | Домен тасдиғини қайта ишлатиш |
|---|---|---|
| 15.03.2026 гача | 398 кун | 398 кун |
| 15.03.2026 дан | 200 кун | 200 кун |
| 15.03.2027 дан | 100 кун | 100 кун |
| 15.03.2029 дан | 47 кун | 10 кун |
Биринчи босқич аллақачон кучга кирган. Бугун буюртма қилинган сертификат бир йил эмас, энг кўпи билан олти ярим ой ишлайди, «бир йиллик» пакет эса энди камида икки марта қайта чиқаришни англатади.
Нега муддат қисқартирилмоқда
Асосий сабаб хавфсизлик. Махфий калит ўғирланса ёки сервердан сизиб чиқса, ҳужумчи сертификат амал қилган бутун давр мобайнида сизнинг сайтингиз номидан ўзини кўрсатиши мумкин. Бекор қилинган сертификатларни браузерлар амалда ишончли текширмайди, шунинг учун қисқа муддат бу хавф ойнасини торайтиришнинг энг оддий йўлидир.
Бундан ташқари, домен бошқа эгага ўтиши ёки сайт бошқа серверга кўчиши мумкин ва эски сертификат яна бир йил ишлайди. Энг муҳими, соҳа автоматлаштиришга ундалмоқда, чунки йилига бир марта бажариладиган қўлда иш осонгина унутилади.
Let's Encrypt фойдаланувчилари учун нима ўзгаради
Бепул Let's Encrypt сертификатлари узоқ вақтдан бери 90 кунлик қилиб чиқарилади ва Let's Encrypt бундан ҳам қисқа, 45 кунлик сертификатларга ўтишини эълон қилган. Масалан, sayt.uz ҳостингида Let's Encrypt сертификати бепул ўрнатилади ва панел уни ўзи янгилаб туради.
Мисол: қўлда янгиланадиган пуллик сертификат
Тошкентдаги бир савдо компанияси ҳар йили ноябрда бир йиллик OV сертификат сотиб олади. Ҳар сафар IT ходими CSR яратиб, файлларни қўлда ўрнатади. Аммо 2026 йил мартидан кейин бу жараённи йилига икки марта, 2027 йилдан тўрт марта, 2029 йилдан эса тахминан саккиз марта такрорлаш керак бўлади.
Йилига саккиз марта қўлда янгилаш эртами-кечми хатога олиб келади. Ходим таътилда бўлади ёки эслатма спамга тушади ва сайт огоҳлантириш билан очилади. Тўғри йўл автоматлаштиришдир: ACME'ни қўллаб-қувватлайдиган тижорат сертификат марказини танлаш ёки, OV ва EV шарт бўлмаса, бепул автоматик сертификатга ўтиш.
Автоматлаштириш қандай ишлайди
ACME буюртма, доменни тасдиқлаш ва ўрнатишни тўлиқ дастурий жараёнга айлантиради. Linux серверда кўпинча certbot ва acme.sh ишлатилади. Янгилаш ишлашини certbot renew --dry-run билан синаш, жорий сертификатнинг тугаш санасини эса openssl s_client -connect example.uz:443 -servername example.uz </dev/null | openssl x509 -noout -enddate билан билиш мумкин.
Биз тез-тез кўрадиган хатолар
Автоматик янгилаш ҳам жимгина ишдан чиқиши мумкин. Энг кўп учрайдиган ҳолат: домен DNS'и бошқа серверга йўналтирилган. HTTP-01 текширувида сертификат маркази домен орқали махсус файлни сўрайди ва A ёзуви бошқа жойга қараса, текширув муваффақиятсиз тугайди, эски сертификат эса огоҳлантиришсиз муддатини ўтайди.
Иккинчи кенг тарқалган муаммо почта сервери сертификатининг унутилишидир. Почта ёки API учун қачонлардир қўлда ўрнатилган сертификат ҳақида ҳеч ким эсламайди ва бир куни ходимларнинг Outlook'и сертификат хатосини кўрсата бошлайди.
Сайт эгаси ҳозир нима қилиши керак
Барча сертификатларингиз рўйхатини тузинг: сайт, субдоменлар, почта, бошқарув панели, API ва ички хизматлар. Қўлда янгиланадиган ҳар бир сертификатни 2027 йилгача автоматлаштириш керак.
- Автоматик янгилашни ёқинг: ҳостинг панелида бу битта созлама, ўз серверингизда эса certbot ёки acme.sh ва уларнинг таймери.
- DNS'ни текширинг: A ва AAAA ёзувлари сертификат чиқариладиган серверга қараши керак.
- Wildcard учун DNS-01 ишлатинг:
*.example.uzфақат DNS орқали тасдиқланади. - Мониторинг ўрнатинг, у муддат тугашига 14 кун қолганда огоҳлантирсин.
Агар сайтингиз sayt.uz ҳостингида бўлса, домен ва субдоменлар учун бепул SSL аллақачон автоматик янгиланади, сиздан фақат домен DNS'и ҳостингга тўғри йўналтирилганини кузатиш талаб қилинади.