Разбираем, почему сертификат мог не продлиться, как проверить установленную версию и как заранее обнаруживать окончание срока действия.
У каждого SSL-сертификата есть дата начала и дата окончания действия. После наступления даты окончания сам сайт или сервер могут продолжать работать, но защищённое соединение больше не считается доверенным.
Для пользователя проблема может выглядеть как предупреждение безопасности, ошибка сертификата, невозможность открыть сайт, отказ мобильного приложения или сбой обращения к API.
Продление сертификата обычно означает выпуск нового сертификата, а не изменение даты внутри старого. Новый сертификат необходимо установить на сервер, прокси, балансировщик или другую точку завершения TLS.
Даже после успешного выпуска сервер может продолжать отдавать старую версию. Такое происходит, если не перезагружена конфигурация, обновлён не тот экземпляр или сертификат установлен только на часть серверов.
Чтобы исключить повторение проблемы, недостаточно один раз исправить сертификат. Нужна регулярная внешняя проверка срока действия и корректности сертификата.
Убедитесь, что проблема относится к нужному домену и посмотрите дату окончания сертификата, который сервер отдаёт внешним пользователям.
Посмотрите состояние автоматического задания, журналы выпуска, подтверждение домена и сообщения центра сертификации или панели хостинга.
Если автоматическое продление не произошло, запустите перевыпуск через используемый центр сертификации, хостинг или инструмент автоматизации.
Обновите сертификат и цепочку на точке, которая принимает внешнее TLS-соединение: сервере, прокси, ingress или балансировщике.
При необходимости выполните безопасную перезагрузку конфигурации, чтобы сервис начал использовать новые файлы.
Если за доменом работает несколько серверов, убедитесь, что каждый из них отдаёт актуальный сертификат.
Отдельно проверьте www-версию, API, личный кабинет, административную панель и другие поддомены.
Добавьте SSL-монитор с порогами предупреждения, чтобы узнать о следующем окончании заранее.
Проверьте дату окончания сертификата именно через публичный домен. Просмотр файла на сервере не гарантирует, что этот файл используется активной конфигурацией.
Убедитесь, что сертификат соответствует домену и сервер отдаёт полную цепочку доверия. Неполная цепочка может работать в одном браузере и завершаться ошибкой в другом клиенте.
Если используется балансировщик, CDN или несколько экземпляров приложения, повторите проверку несколько раз. Часть инфраструктуры может продолжать отдавать старую версию.
Проверьте не только главную страницу, но и отдельные TLS-точки: API, личный кабинет, административную панель, почтовые и технические сервисы.
Не отключайте проверку сертификата в клиентах ради временного обхода проблемы. Это скрывает неисправность и ослабляет защиту соединения.
После исправления разберите причину сбоя автоматического продления. Иначе проблема с большой вероятностью повторится при следующем окончании срока.
UpWatch не выпускает и не устанавливает сертификат, но помогает увидеть срок окончания, ошибку проверки и момент восстановления с внешней стороны.
Сервер может продолжать отвечать, но соединение больше не считается доверенным. Пользователи увидят предупреждение, а многие приложения полностью откажутся подключаться.
Причиной может быть ошибка подтверждения домена, DNS, недоступный проверочный URL, остановленное задание, ограничения центра сертификации или проблема конфигурации.
Новый файл мог быть установлен не на ту точку, конфигурация могла не перезагрузиться либо часть серверов продолжает использовать старый сертификат.
Технически обычно выпускается новый сертификат с новым сроком действия, после чего он устанавливается вместо старого.
Разные пользователи могут попадать на разные серверы, использовать разные DNS-адреса или получать сертификат через разные точки инфраструктуры.
Настройте SSL-мониторинг с порогом предупреждения. UpWatch рассчитывает оставшееся количество дней при каждой проверке.
Да. Проверяется сертификат, который удалённый сервер фактически отдаёт при TLS-соединении.
Регулярная проверка срока, домена, цепочки доверия и порогов окончания.
Другие причины, по которым пользователи не могут открыть сайт.
Контроль важных страниц и HTTP-ответов по расписанию.
Как получать сообщения о проблемах и последующем восстановлении.
