SSL истёк: что видит клиент и как этого избежать

Когда срок SSL-сертификата истекает, браузеры перестают открывать сайт и показывают вместо него предупреждение на весь экран: «Подключение не защищено». Большинство посетителей уходит, реклама при этом продолжает тратить бюджет, а оплата и обмен данными с другими сервисами могут остановиться. Лечится это продлением или перевыпуском сертификата — обычно за минуты или часы, если есть доступы. Ниже разберём, что именно ломается, как срочно всё восстановить и что настроить, чтобы история не повторилась.

Что видит клиент, когда сертификат истёк

Типичный сценарий: сертификат истекает в три часа ночи, а в девять утра менеджер обнаруживает, что заявок нет. Вместо сайта посетители видят полноэкранное предупреждение браузера: «Ваше подключение не защищено», красный значок, кнопка «Назад». Мимо такого экрана проходят единицы — по нашим наблюдениям, сайт теряет больше 90 процентов трафика буквально за часы.

Chrome, Safari и Яндекс Браузер показывают предупреждение на весь экран, а кнопка «всё равно перейти» спрятана за неприметной ссылкой мелким шрифтом. Обычный покупатель дальше не пойдёт: он решит, что сайт взломали, и уйдёт к конкуренту из соседней строчки выдачи.

Если на сайте включён строгий режим HTTPS (заголовок HSTS, который запрещает браузеру открывать сайт без шифрования), обходной ссылки не будет вовсе: браузер просто откажется открывать страницу. Какие ещё бывают причины такого экрана и как отличить одну от другой, мы разобрали в статье про ошибку «Подключение не защищено».

Что ломается кроме сайта в браузере

Красный экран — только видимая часть. Сертификатом пользуются не одни посетители: с сайтом по HTTPS общаются платёжные системы, CRM, учётные программы и мобильные приложения. Они при недействительном сертификате не показывают предупреждений, а молча разрывают соединение.

Во что обходится простой

Реклама при истёкшем сертификате продолжает откручиваться, рассылки со ссылками на сайт продолжают уходить. Деньги капают, клиенты разворачиваются на пороге.

К нам пришёл клиент — интернет-магазин с рекламным бюджетом около 200 тысяч рублей в месяц. Сертификат истёк в пятницу вечером, заметили в понедельник. Два дня рекламы ушли на прогрев красного экрана, а неделя — на восстановление конверсии.

Достаётся и долгосрочным вещам. Посетитель запоминает «опасный сайт» и в следующий раз кликает осторожнее. Если предупреждение висит дольше пары дней, проседают позиции: робот не может получить страницы, а поисковики не любят отправлять людей на сайт с недействительным сертификатом. Восстановление занимает недели.

Час простоя из-за сертификата стоит столько же, сколько час простоя из-за упавшего сервера. Разница в том, что сертификат истекает по расписанию, известному заранее.

Сертификат уже истёк: что делать прямо сейчас

Порядок действий зависит от того, кто выпускал сертификат, но общая логика одна: убедиться в причине, остановить лишние расходы, выпустить новый сертификат и проверить результат.

1. Убедитесь, что дело в сроке. Нажмите на предупреждение или значок в адресной строке и откройте сведения о сертификате — там указана дата окончания. В Chrome на истёкший срок указывает код NET::ERR_CERT_DATE_INVALID. Проверьте сайт с телефона через мобильный интернет: если ошибка только на одном компьютере, возможно, на нём сбилась дата.
2. Поставьте рекламу на паузу. Пока сайт закрыт предупреждением, каждый оплаченный клик уходит впустую.
3. Выясните, откуда сертификат. Бесплатный Let's Encrypt обычно выпускается в панели хостинга. Платный покупали у хостера, регистратора или продавца сертификатов — ищите письма и личный кабинет.
4. Бесплатный — перевыпустите. В панели хостинга откройте раздел с SSL-сертификатами и запустите выпуск заново. У большинства хостеров это одна кнопка.
5. Платный — продлите и установите. Оплатите продление, пройдите подтверждение домена, получите новые файлы сертификата и установите их на сервер. Продление без установки ничего не меняет.
6. Нет доступа или не получается — пишите в поддержку хостера. Сообщите домен и текст ошибки. Обычно вопрос решают за 15–30 минут.
7. Проверьте результат. Откройте сайт в режиме инкогнито, посмотрите новую дату окончания. Проверьте версию с www и без, поддомены, а также оформление заказа и оплату.
8. Верните рекламу и проверьте хвосты. Включите кампании, убедитесь, что заявки доходят, а зависшие за время простоя оплаты и обмены обработаны.

Сертификат с проверкой организации продлевается дольше: центру сертификации нужно заново проверить документы компании. Если счёт идёт на часы, разумно временно поставить бесплатный сертификат, а платный спокойно оформить следом.

Продлили, а ошибка осталась: что проверить

Почему сертификаты истекают

За годы поддержки мы собрали типовой список причин, и «просто забыли» в нём далеко не на первом месте.

• Слетела автопродлёнка Let's Encrypt: обновили сервер или сменили панель, и скрипт продления перестал запускаться. Сертификат живёт 90 дней, так что развязка наступает быстро.
• Сменили DNS или переехали на другой хостинг — валидация домена сломалась, и сертификат молча перестал продлеваться.
• У платного сертификата не прошёл автоплатёж: карту перевыпустили или на ней пусто.
• Сертификат продлили, но забыли установить на сервер. Да, так бывает.
• Уведомления об окончании срока уходили на ящик сотрудника, который давно уволился.

Технические причины сбоев автоматики и способы их найти мы подробно разобрали в отдельной статье про автопродление Let's Encrypt.

Случается такое не только у малого бизнеса: в 2020 году из-за просроченного сертификата на несколько часов ложился Microsoft Teams, попадали в такие истории Spotify и LinkedIn. Автоматика сбоит и у гигантов — просто у них есть дежурные инженеры, которые чинят за час.

Как не допустить повторения

Первый рубеж — автопродление. У большинства хостингов Let's Encrypt продлевается автоматически, нужно лишь раз проверить, что механизм включён и отрабатывает: загляните в срок действия сертификата через месяц после выпуска. Если дата окончания сдвинулась вперёд — автоматика работает.

Второй рубеж — мониторинг. Сервисы вроде UptimeRobot умеют следить за сроком сертификата и присылать предупреждения заранее: за две недели, за неделю, за несколько дней до конца. Пять минут настройки против суток простоя — арифметика в пользу мониторинга. Как выбрать сервис и что ещё в нём отслеживать, рассказываем в статье про мониторинг сайта.

Третий рубеж — люди. Если сертификат выпускает хостер, зафиксируйте это письменно и проверьте, что его уведомления приходят на живой ящик, а не на почту давно уволившегося админа. Если сертификатом занимается ваша студия — назначьте ответственного поимённо. А доступы к хостингу и кабинету продавца сертификата должны быть у владельца бизнеса: без них даже простое продление превращается в поиски человека с паролем. Об этом — в материале кому принадлежит ваш сайт.

Для платных сертификатов добавьте напоминание в календарь за месяц до окончания: продление с оплатой счёта и проверкой документов не делается за один вечер.

Чек-лист: сертификат под контролем

• Известно, какой сертификат стоит на сайте, кто его выпускал и когда он истекает.
• Автопродление включено, и его работа проверена по изменившейся дате окончания.
• Подключён внешний мониторинг срока сертификата с уведомлениями заранее.
• Уведомления хостера и продавца сертификата приходят на действующий ящик, который читают.
• Назначен конкретный ответственный за сертификат.
• Доступы к панели хостинга и DNS есть у владельца бизнеса.
• Учтены все адреса: версия с www, поддомены, CDN и сервис защиты.
• Для платного сертификата стоит напоминание за месяц до окончания.

Коротко

Истёкший сертификат закрывает сайт предупреждением браузера, останавливает заявки и может сломать оплату и обмен данными. Срочное лечение — перевыпустить или продлить сертификат, установить его и проверить все адреса сайта. Профилактика — автопродление, внешний мониторинг срока и понятный ответственный.

Просроченный SSL — авария из разряда полностью предотвратимых. В CasperLab мы подключаем SSL-сертификаты с автопродлением и следим за их сроками в рамках поддержки — красный экран ваши клиенты не увидят.