Короткий ответ

Если сертификат уже истёк, исправляйте проблему сразу: часть посетителей и автоматических систем не сможет установить HTTPS-соединение. Если до окончания осталось меньше двух недель, а автоматическое продление ещё не проверено, это важная задача на ближайшее время.

Надёжная защита состоит из двух частей. Автоматическое продление получает новый сертификат, а независимый мониторинг проверяет, что публичный сайт действительно начал его отдавать.

Что обычно называют SSL-сертификатом

В разговорной речи говорят «SSL-сертификат», хотя современные сайты используют TLS. Сертификат помогает браузеру убедиться, что он подключается к нужному домену, и участвует в создании защищённого HTTPS-соединения.

Браузер смотрит не только на дату окончания. Важны доверенный издатель, совпадение имени сайта со списком имён в сертификате и корректная цепочка доверия. Поэтому предупреждение возможно даже при нормальной дате: например, если сертификат выпущен для example.ru, а клиент открывает www.example.ru.

Почему это проблема доступности

При недействительном сертификате браузер показывает отдельный экран с предупреждением. Кто-то сможет вручную продолжить, но рассчитывать на это нельзя. Если для домена уже действует HSTS, браузер обычно не даёт обойти ошибку сертификата вовсе.

  • Мобильное приложение может отклонить соединение с API сайта.
  • Платёжная, CRM- или другая интеграция может перестать обмениваться данными.
  • Webhook, личный кабинет или поддомен с ресурсами могут стать недоступны.
  • Поисковый робот и сервисы мониторинга получат ошибку вместо страницы.

Конкретная реакция зависит от браузера и клиента, но просроченный или неверный сертификат — это не косметическое SEO-замечание, а риск потери нормального доступа к сайту.

Почему автопродление иногда не спасает

Не прошла проверка домена

Удостоверяющему центру нужно подтвердить управление доменом. Проверке могут помешать изменившиеся DNS-записи, прокси, закрытый служебный путь, недоступный порт или конфигурация после переноса сайта.

Новый сертификат есть, но сервер отдаёт старый

Новый файл может лежать на сервере, а веб-сервер или балансировщик продолжает использовать прежний. Обычно причина — конфигурация не перечитана или сертификат установлен не на тот узел.

Обновили не все адреса

Основной домен работает, а www, кабинет, API или другой поддомен показывает ошибку. Каждый адрес, которым реально пользуются клиенты и интеграции, должен обслуживаться действующим сертификатом.

Перестало запускаться задание продления

Автоматическое обновление выполняет планировщик, контейнер, панель хостинга или ACME-клиент. После обновления сервера, смены путей или прав доступа это задание может перестать работать незаметно.

Как проверить сертификат

Проверка в браузере

  1. Откройте сайт по HTTPS в приватном окне.
  2. Откройте сведения о соединении и сертификате.
  3. Проверьте дату окончания, имя домена, издателя и отсутствие предупреждений.
  4. Повторите проверку для www, кабинета, API и остальных публичных поддоменов.

Проверка сертификата, который реально отдаёт сервер

При доступе к терминалу используйте OpenSSL: printf '' | openssl s_client -connect example.ru:443 -servername example.ru | openssl x509 -noout -subject -issuer -dates -ext subjectAltName. Замените example.ru своим доменом.

Параметр -servername важен: на одном IP могут работать разные сайты, и без имени сервер способен вернуть чужой сертификат. Для проверки HTTPS-запроса дополнительно используйте curl -Iv https://example.ru/. Не отключайте проверку сертификата ключом -k: он скроет именно ту ошибку, которую нужно обнаружить.

Как настроить продление без сюрпризов

  1. Включите автоматическое продление для всех нужных имён домена.
  2. Запустите тестовое продление штатной командой ACME-клиента или панели.
  3. Убедитесь, что новый сертификат устанавливается на нужный сервер, прокси или балансировщик.
  4. Настройте безопасное перечитывание конфигурации веб-сервера после обновления.
  5. Проверьте HTTPS-адрес извне, а не только новый файл на диске.
  6. Сохраняйте ошибки продления и уведомляйте ответственного о неудачной попытке.

Для Let’s Encrypt автоматизация особенно важна. На 13 сентября 2026 года его стандартные сертификаты действуют 90 дней; рекомендация сервиса — обновлять их примерно за 30 дней до окончания. Отрасль движется к ещё более коротким срокам, поэтому ручное напоминание в календаре не должно быть единственной защитой.

Зачем отдельный мониторинг

Автопродление и мониторинг решают разные задачи. Первое пытается обновить сертификат. Второй проверяет результат с точки зрения посетителя: доступен ли HTTPS-адрес, какой сертификат отдаётся сейчас, сколько дней осталось и совпадает ли имя домена.

Уведомление за 14 дней даёт время выяснить причину без аварийной работы в последний вечер. Для важных сайтов полезны повторные пороги за 7 и 3 дня и отдельное критическое уведомление после истечения.

В постоянном наблюдении ProWebStatus срок сертификата проверяется вместе с доступностью сайта. После переноса домена, смены хостинга или прокси всё равно стоит вручную проверить публичный адрес.

Как расставить приоритет

  • Сертификат уже недействителен — критическая проблема: восстановите HTTPS и проверьте связанные адреса и интеграции.
  • Осталось меньше 14 дней, а продление не проверено — важная задача на ближайшее время.
  • Автопродление подтверждено и внешний мониторинг включён — срочных действий нет, но тест после инфраструктурных изменений обязателен.
  • Ошибка только на неиспользуемом поддомене — сначала подтвердите, что он действительно не участвует в сценариях клиентов и интеграциях.

Главный принцип: проверяйте не файл сертификата в панели, а защищённое соединение, которое получает посетитель.