SSL истёк: что видит клиент и как этого избежать

Сертификат истекает в три часа ночи, а в девять утра менеджер обнаруживает, что заявок нет. Вместо сайта посетители видят полноэкранное предупреждение браузера: «Ваше подключение не защищено», красный значок, кнопка «Назад». Мимо такого экрана проходят единицы — по нашим наблюдениям, сайт теряет больше 90 процентов трафика буквально за часы.

Реклама при этом продолжает откручиваться, рассылки со ссылками на сайт продолжают уходить. Деньги капают, клиенты разворачиваются на пороге.

Что видит клиент и чем это грозит

Chrome, Safari и Яндекс Браузер показывают предупреждение на весь экран, а кнопка «всё равно перейти» спрятана за неприметной ссылкой мелким шрифтом. Обычный покупатель дальше не пойдёт: он решит, что сайт взломали, и уйдёт к конкуренту из соседней строчки выдачи.

Достаётся и долгосрочным вещам. Посетитель запоминает «опасный сайт» и в следующий раз кликает осторожнее. Если предупреждение висит дольше пары дней, проседают позиции: поисковики понижают сайты с недействительным сертификатом. Восстановление занимает недели.

Почему сертификаты истекают

За годы поддержки мы собрали типовой список причин, и «просто забыли» в нём далеко не на первом месте.

• Слетела автопродлёнка Let's Encrypt: обновили сервер или сменили панель, и скрипт продления перестал запускаться. Сертификат живёт 90 дней, так что развязка наступает быстро.
• Сменили DNS или переехали на другой хостинг — валидация домена сломалась, и сертификат молча перестал продлеваться.
• У платного сертификата не прошёл автоплатёж: карту перевыпустили или на ней пусто.
• Сертификат продлили, но забыли установить на сервер. Да, так бывает.

Случается такое не только у малого бизнеса: в 2020 году из-за просроченного сертификата на несколько часов ложился Microsoft Teams, попадали в такие истории Spotify и LinkedIn. Автоматика сбоит и у гигантов — просто у них есть дежурные инженеры, которые чинят за час.

К нам пришёл клиент — интернет-магазин с рекламным бюджетом около 200 тысяч рублей в месяц. Сертификат истёк в пятницу вечером, заметили в понедельник. Два дня рекламы ушли на прогрев красного экрана, а неделя — на восстановление конверсии.

Как не оказаться в этой ситуации

Первый рубеж — автопродление. У большинства хостингов Let's Encrypt продлевается автоматически, нужно лишь раз проверить, что механизм включён и отрабатывает: загляните в срок действия сертификата через месяц после выпуска.

Второй рубеж — мониторинг. Бесплатные сервисы вроде UptimeRobot проверяют срок сертификата и шлют письмо за 14, 7 и 3 дня до конца. Пять минут настройки против суток простоя — арифметика в пользу мониторинга.

И разделите зоны ответственности. Если сертификат выпускает хостер, зафиксируйте это письменно и проверьте, что его уведомления приходят на живой ящик, а не на почту давно уволившегося админа. Если сертификатом занимается ваша студия — назначьте ответственного поимённо.

Просроченный SSL — авария из разряда полностью предотвратимых: автопродление плюс мониторинг закрывают вопрос раз и навсегда. В CasperLab мы подключаем сертификаты с автопродлением и следим за их сроками в рамках поддержки — красный экран ваши клиенты не увидят.