Как получить бесплатный SSL-сертификат

Что делает SSL-сертификат

Строго говоря, современные соединения используют TLS, преемника SSL, но все по-прежнему говорят «SSL-сертификат». Сертификат решает две задачи:

• Шифрование: пароли, формы и платежи передаются в зашифрованном виде, поэтому никто в сети не может их прочитать или изменить.
• Подлинность: удостоверяющий центр (CA) проверил, что тот, кто запросил сертификат, управляет доменом.

Бесплатные сертификаты относятся к типу DV (с проверкой домена): CA проверяет только то, что вы управляете доменом. Шифрование при этом точно такое же надёжное, как у платного сертификата. Платные сертификаты OV и EV добавляют проверку организации, стоящей за сайтом, — некоторым компаниям это нужно, — но браузеры показывают для всех один и тот же замок.

Сравнение бесплатных вариантов

Все они шифруют одинаково хорошо. Разница в том, как они выпускаются и продлеваются, и с каждым годом это значит всё больше.

Почему важно автоматическое продление

Срок жизни сертификатов сокращается во всей отрасли. По правилам CA/Browser Forum публичный сертификат может действовать не дольше 200 дней с марта 2026 года, 100 дней с марта 2027 года и 47 дней с марта 2029 года.

Сертификаты Let's Encrypt сегодня действуют 90 дней. Его стандартные сертификаты перейдут на 64 дня в феврале 2027 года и на 45 дней в феврале 2028 года. Кроме того, в 2025 году Let's Encrypt перестал присылать письма с напоминанием об истечении срока, так что никто не предупредит вас, что сертификат вот-вот закончится.

Практический вывод: никогда не продлевайте сертификаты вручную. Используйте то, что продлевает их само, например AutoSSL в cPanel или Certbot на VPS, и время от времени проверяйте, что всё работает.

На виртуальном хостинге: AutoSSL в cPanel

На хостинге с cPanel обычно ничего делать не нужно. AutoSSL запрашивает сертификат Let's Encrypt для каждого домена в аккаунте, который направлен на сервер, устанавливает его и продлевает до истечения срока.

1. Направьте домен на хостинг: укажите NS-серверы или A-запись, которые дал вам хостер, и дождитесь обновления DNS.
2. В cPanel откройте Security → SSL/TLS Status. Для каждого домена видно, покрыт ли он, скоро ли истекает сертификат и нет ли проблемы с AutoSSL.
3. Если домен ещё не покрыт, нажмите Run AutoSSL. Это сработает только после того, как домен начнёт указывать на сервер.
4. Откройте сайт через https:// и проверьте замок. В WordPress также укажите адрес сайта с https://.

На веб-хостинге HytHost AutoSSL с Let's Encrypt включён на каждом тарифе и покрывает каждый добавленный домен и поддомен, как только он направлен на сервер. Что ещё умеет cPanel, читайте в статье что такое cPanel.

На VPS: Certbot с nginx

На собственном сервере сертификаты Let's Encrypt получает и продлевает Certbot от EFF. Официальный способ установки на Ubuntu — через пакет snap:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Убедитесь, что A-запись домена указывает на VPS, что в nginx для него задан server_name и что порты 80 и 443 открыты в файрволе. Затем выполните:

sudo certbot --nginx -d example.com -d www.example.com

Certbot подтверждает, что вы управляете доменом, прописывает сертификат в конфигурацию nginx и может настроить редирект с HTTP на HTTPS. Он также устанавливает таймер, который продлевает сертификаты автоматически. Один раз проверьте продление:

sudo certbot renew --dry-run

За Cloudflare

Если домен работает через Cloudflare с включённым оранжевым облаком, посетители подключаются к Cloudflare, и тот показывает им свой бесплатный сертификат Universal SSL. Это закрывает только половину пути: Cloudflare всё равно подключается к вашему серверу.

• Выберите режим SSL/TLS Full (strict). Тогда Cloudflare требует действительный сертификат на вашем сервере, и весь путь зашифрован и проверен.
• Установите сертификат на сервер: подойдёт Let's Encrypt через AutoSSL или Certbot либо бесплатный сертификат Cloudflare Origin CA. Сертификату Origin CA доверяет только Cloudflare, поэтому, если вы когда-нибудь отключите прокси, посетители увидят ошибки.
• Не используйте режим Flexible. Он оставляет соединение с вашим сервером незашифрованным и часто приводит к бесконечным редиректам.

Частые проблемы с SSL и их решение

• Сертификат не выпускается: домен ещё не указывает на сервер или в DNS всё ещё закэширован старый адрес. Проверьте A-запись и подождите.
• Мешает CAA-запись: если в DNS есть CAA-записи, они должны разрешать используемый вами CA, например 0 issue "letsencrypt.org".
• Проверка не проходит на VPS: по умолчанию Let's Encrypt проверяет домен через порт 80, поэтому держите порт 80 открытым, даже если сайт перенаправляет на HTTPS.
• «Не защищено», хотя сертификат есть: страница загружает изображения или скрипты по http:// (смешанное содержимое). Замените эти ссылки на https://.
• Wildcard-сертификат: для *.example.com нужна проверка через DNS, поэтому он работает только с DNS-плагином или провайдером, который умеет создавать проверочную запись.
• Сертификат истёк: автоматическое продление перестало работать. Проверьте страницу SSL/TLS Status в cPanel или выполните certbot renew --dry-run на VPS и прочитайте ошибку.