Як отримати безкоштовний SSL-сертифікат

Що робить SSL-сертифікат

Строго кажучи, сучасні з'єднання використовують TLS, наступника SSL, але всі й далі кажуть «SSL-сертифікат». Сертифікат виконує два завдання:

• Шифрування: паролі, форми й платежі передаються в зашифрованому вигляді, тож ніхто в мережі не може їх прочитати чи змінити.
• Справжність: центр сертифікації (CA) перевірив, що той, хто запросив сертифікат, керує доменом.

Безкоштовні сертифікати належать до типу DV (з перевіркою домену): CA перевіряє лише те, що ви керуєте доменом. Шифрування при цьому таке саме надійне, як у платного сертифіката. Платні сертифікати OV і EV додають перевірку організації, що стоїть за сайтом, — деяким компаніям це потрібно, — але браузери показують для всіх той самий замок.

Порівняння безкоштовних варіантів

Усі вони шифрують однаково добре. Різниця в тому, як їх випускають і подовжують, і з кожним роком це важить дедалі більше.

Чому важливе автоматичне подовження

Строк дії сертифікатів скорочується в усій галузі. За правилами CA/Browser Forum публічний сертифікат може діяти не довше ніж 200 днів із березня 2026 року, 100 днів із березня 2027 року і 47 днів із березня 2029 року.

Сертифікати Let's Encrypt сьогодні діють 90 днів. Його стандартні сертифікати перейдуть на 64 дні в лютому 2027 року і на 45 днів у лютому 2028 року. Крім того, у 2025 році Let's Encrypt перестав надсилати листи з нагадуванням про закінчення строку, тож ніхто не попередить вас, що сертифікат ось-ось сплине.

Практичний висновок: ніколи не подовжуйте сертифікати вручну. Використовуйте те, що подовжує їх саме, наприклад AutoSSL у cPanel або Certbot на VPS, і час від часу перевіряйте, що все працює.

На віртуальному хостингу: AutoSSL у cPanel

На хостингу з cPanel зазвичай нічого робити не треба. AutoSSL запитує сертифікат Let's Encrypt для кожного домену в акаунті, спрямованого на сервер, встановлює його й подовжує до закінчення строку.

1. Спрямуйте домен на хостинг: вкажіть NS-сервери або A-запис, які дав вам хостер, і дочекайтеся оновлення DNS.
2. У cPanel відкрийте Security → SSL/TLS Status. Для кожного домену видно, чи він покритий, чи скоро спливає сертифікат і чи немає проблеми з AutoSSL.
3. Якщо домен ще не покритий, натисніть Run AutoSSL. Це спрацює лише після того, як домен почне вказувати на сервер.
4. Відкрийте сайт через https:// і перевірте замок. У WordPress також вкажіть адресу сайту з https://.

На вебхостингу HytHost AutoSSL із Let's Encrypt увімкнено на кожному тарифі, і він покриває кожен доданий домен і піддомен, щойно той спрямовано на сервер. Що ще вміє cPanel, читайте у статті що таке cPanel.

На VPS: Certbot з nginx

На власному сервері сертифікати Let's Encrypt отримує й подовжує Certbot від EFF. Офіційний спосіб встановлення на Ubuntu — через пакет snap:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Переконайтеся, що A-запис домену вказує на VPS, що в nginx для нього задано server_name і що порти 80 та 443 відкриті у файрволі. Потім виконайте:

sudo certbot --nginx -d example.com -d www.example.com

Certbot підтверджує, що ви керуєте доменом, прописує сертифікат у конфігурацію nginx і може налаштувати перенаправлення з HTTP на HTTPS. Він також встановлює таймер, який подовжує сертифікати автоматично. Один раз перевірте подовження:

sudo certbot renew --dry-run

За Cloudflare

Якщо домен працює через Cloudflare з увімкненою помаранчевою хмаркою, відвідувачі підключаються до Cloudflare, і той показує їм свій безкоштовний сертифікат Universal SSL. Це закриває лише половину шляху: Cloudflare однаково підключається до вашого сервера.

• Оберіть режим SSL/TLS Full (strict). Тоді Cloudflare вимагає дійсний сертифікат на вашому сервері, і весь шлях зашифрований і перевірений.
• Встановіть сертифікат на сервер: підійде Let's Encrypt через AutoSSL або Certbot чи безкоштовний сертифікат Cloudflare Origin CA. Сертифікату Origin CA довіряє лише Cloudflare, тож якщо ви колись вимкнете проксі, відвідувачі побачать помилки.
• Уникайте режиму Flexible. Він залишає з'єднання з вашим сервером незашифрованим і часто спричиняє нескінченні перенаправлення.

Типові проблеми з SSL і їх вирішення

• Сертифікат не випускається: домен ще не вказує на сервер або в DNS досі закешована стара адреса. Перевірте A-запис і зачекайте.
• Заважає CAA-запис: якщо в DNS є CAA-записи, вони мають дозволяти CA, яким ви користуєтеся, наприклад 0 issue "letsencrypt.org".
• Перевірка не проходить на VPS: за замовчуванням Let's Encrypt перевіряє домен через порт 80, тож тримайте порт 80 відкритим, навіть якщо сайт перенаправляє на HTTPS.
• «Незахищено», хоча сертифікат є: сторінка завантажує зображення чи скрипти через http:// (змішаний вміст). Замініть ці посилання на https://.
• Wildcard-сертифікат: для *.example.com потрібна перевірка через DNS, тож він працює лише з DNS-плагіном або провайдером, який уміє створювати перевірочний запис.
• Строк дії сертифіката сплив: автоматичне подовження перестало працювати. Перевірте сторінку SSL/TLS Status у cPanel або виконайте certbot renew --dry-run на VPS і прочитайте помилку.