Представьте: вы запускаете сайт после ночного деплоя, а браузер выдаёт ERR_CERT_DATE_INVALID. Трафик падает на 30% за сутки, пользователи уходят к конкурентам. Мы сталкивались с такими инцидентами десятки раз — человеческий фактор при ручном продлении SSL-сертификатов неизбежен. За годы работы мы внедрили SSL-решения для проектов разного масштаба: от простых лендингов до высоконагруженных SaaS. Наша цель — настроить автообновление и мониторинг так, чтобы вы забыли о проблемах с сертификатами. Продление и настройка SSL-сертификата — это автоматизация с Certbot и постоянный мониторинг.
Как Certbot решает проблему автообновления
Бесплатные сертификаты Let's Encrypt с Certbot обновляются автоматически через systemd timer. Это устраняет человеческий фактор. Мы настраиваем автообновление за 30–60 минут и подключаем мониторинг. Один из клиентов сэкономил существенные операционные расходы, перейдя на автоматическое продление. Внедрение Let's Encrypt снижает трудозатраты — средняя экономия составляет около $90–130 в год для типового проекта.
# Установка Certbot sudo apt install certbot python3-certbot-nginx # Получение сертификата sudo certbot --nginx -d mysite.com -d www.mysite.com # Проверка автообновления sudo systemctl status certbot.timer # Тест обновления sudo certbot renew --dry-run # Принудительное обновление sudo certbot renew --force-renewal Certbot обновляет сертификат за 30 дней до истечения. Для надёжности добавляем скрипт в cron с уведомлением за 2 недели. Это покрывает 80% проектов.
Почему Let's Encrypt — стандарт для автообновления?
Let's Encrypt — это центр сертификации, поддерживаемый некоммерческой организацией Internet Security Research Group. Протокол ACME автоматизирует выпуск и продление сертификатов. Certbot — официальный клиент, который управляет таймерами и веб-серверами. В отличие от платных сертификатов, не требуется ручного вмешательства для продления.Что делать, если нужен Wildcard-сертификат?
Для проектов с множеством поддоменов Wildcard — оптимальное решение. Let's Encrypt требует DNS-валидацию, которую автоматизируем через DNS-провайдера. Пример для Cloudflare:
sudo certbot certonly --manual --preferred-challenges=dns \ -d mysite.com -d "*.mysite.com" # Автоматизация через DNS плагин sudo apt install python3-certbot-dns-cloudflare echo "dns_cloudflare_api_token = CF_TOKEN" > /etc/letsencrypt/cloudflare.ini chmod 600 /etc/letsencrypt/cloudflare.ini sudo certbot certonly \ --dns-cloudflare \ --dns-cloudflare-credentials /etc/letsencrypt/cloudflare.ini \ -d mysite.com -d "*.mysite.com" Wildcard удобен, но требует корректной настройки DNS. Избегаем типичных ошибок: несовпадение TTL или неверное использование плагина. Получите консультацию, если сомневаетесь в своей конфигурации.
В каких случаях стоит выбрать платный сертификат?
Платные сертификаты (Sectigo, DigiCert) имеют срок до года и подходят для корпоративных сайтов с требованиями к доверию. Процесс установки:
openssl req -new -newkey rsa:2048 -nodes \ -keyout mysite.com.key \ -out mysite.com.csr \ -subj "/C=RU/ST=Moscow/L=Moscow/O=My Company/CN=mysite.com" cat mysite.com.crt intermediate.crt > fullchain.crt # nginx.conf ssl_certificate /etc/ssl/mysite.com/fullchain.crt; ssl_certificate_key /etc/ssl/mysite.com/mysite.com.key; Платные сертификаты дороже в обслуживании, но для некоторых отраслей требуют Extended Validation (EV). Если нужен EV, поможем с выбором и установкой. Экономия на юридических рисках может быть существенной. Свяжитесь с нами для индивидуального расчёта.
Мониторинг срока действия: как не пропустить истечение
Внедряем скрипты, проверяющие дату истечения и отправляющие алерты в Telegram или email.
for domain in mysite.com api.mysite.com admin.mysite.com; do expiry=$(echo | openssl s_client -servername "$domain" -connect "$domain:443" 2>/dev/null \ | openssl x509 -noout -enddate 2>/dev/null | cut -d= -f2) echo "$domain: $expiry" done Дополнительно настраиваем интеграцию с Zabbix или Prometheus.
| Инструмент мониторинга | Тип | Сложность внедрения |
|---|---|---|
| Собственный bash-скрипт | Локальный | Низкая |
| Prometheus + Blackbox Exporter | Серверный | Средняя |
| UptimeRobot | SaaS | Низкая |
HSTS и OCSP Stapling: повышаем безопасность и скорость
HSTS (RFC 6797) заставляет браузеры использовать HTTPS, OCSP Stapling ускоряет проверку сертификата. Конфигурация Nginx:
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; ssl_stapling on; ssl_stapling_verify on; ssl_trusted_certificate /etc/letsencrypt/live/mysite.com/chain.pem; resolver 8.8.8.8 1.1.1.1 valid=300s; HSTS с preload снижает время загрузки на 5–10% для повторных визитов, OCSP Stapling сокращает рукопожатие на 30%. Оценка безопасности на SSL Labs должна быть A или A+.
Как проверить конфигурацию SSL
Проверяем через SSL Labs (оценка A или A+) и Mozilla Observatory (оценка 100/100). Используем openssl s_client для проверки дат и цепочки. Мы включаем эти проверки в процесс настройки.
Сравнение Let's Encrypt и платных TLS-решений
| Параметр | Let's Encrypt | Платный (Sectigo) |
|---|---|---|
| Стоимость | Бесплатно | Платно |
| Срок действия | 90 дней | 1 год |
| Автообновление | Встроенное (Certbot) | Требует скриптов |
| Поддержка Wildcard | Да (DNS) | Да (любой) |
| Доверие браузеров | Высокое | EV-уровень выше |
Let's Encrypt с Certbot настраивается в 2 раза быстрее платных аналогов.
Что входит в работу
- Анализ текущей схемы TLS и конфигурации веб-сервера
- Установка или миграция на Let's Encrypt / коммерческий TLS
- Настройка автообновления и мониторинга
- Внедрение HSTS и OCSP Stapling
- Проверка на SSL Labs (оценка A+)
- Документация всех изменений
- Поддержка в течение 30 дней после сдачи
Процесс работы
- Аналитика: инвентаризация доменов, конфигурация, требования.
- Проектирование: выбор типа сертификата, схемы автообновления, мониторинга.
- Реализация: выпуск сертификата, настройка веб-сервера, HSTS/OCSP.
- Тестирование: SSL Labs, Observatory, нагрузочное тестирование.
- Деплой: постепенный перевод трафика (blue-green) с мониторингом.
Сроки и стоимость
- Базовая настройка Let's Encrypt: от $45–65 (2–3 часа работы). Включает автообновление и Nginx-конфигурацию.
- Wildcard с DNS-плагином: от $90–130 (2–4 часа). Защищает 10+ поддоменов сразу.
- Комплексная настройка с HSTS, OCSP Stapling, мониторингом и документацией: от $180–260 (4–8 часов). Оценка SSL Labs — A+.
Мы настраиваем SSL и TLS для 50+ проектов в год. Средний рейтинг наших конфигураций на SSL Labs — 96/100. Реагируем за 2 часа. Работаем в режиме 24/7. Стоимость рассчитывается индивидуально. Оценим проект за 1 рабочий день — просто напишите нам. Получите консультацию по настройке SSL: работаем быстро, с гарантией результата.