SSL-сертификаты будут жить всё меньше. Что это значит для вашего сайта

• Что меняется и когда
• Зачем сокращают срок сертификатов
• Если ваш сайт на нашем хостинге
• Кому придётся что-то сделать
• Как увидеть все сертификаты, выпущенные на ваш домен
• Записи CAA: стоит добавить, но у них есть предел
• То, что нельзя настроить
• Коротко

В конце сентября злоумышленники, взломавшие системы трёх национальных доменных зон — .gh (Гана), .sl (Сьерра-Леоне) и .as (Американское Самоа), — изменили DNS-записи на уровне реестра и с их помощью получили настоящие SSL-сертификаты для нескольких доменов Google, а также для доменов других известных брендов и сервисов. Ничего не подделывали. Центр сертификации проверяет, что тот, кто запрашивает сертификат, управляет доменом, и какое-то время злоумышленники действительно им управляли. Google сообщил об атаках 6 октября и написал, что у него нет оснований считать, будто центры сертификации, выпустившие эти сертификаты, сделали что-то не так.

Google заблокировал эти сертификаты в Chrome и вместе с выпустившими их центрами сертификации организовал отзыв. Но сертификат, которого не должно было быть, опасен всё время, пока он действует. Ограничить это время — главная причина, по которой срок действия сертификатов во всём интернете сокращается, причём график согласовали задолго до этой атаки. Для большинства сайтов на нашем хостинге владельцу ничего делать не придётся.

Что меняется и когда#

Сроки сокращаются сразу по двум графикам. Организация CA/Browser Forum, которая устанавливает правила для публично доверенных сертификатов, в апреле 2025 года проголосовала за сокращение максимального срока действия сертификата в три этапа. Ни один центр сертификации не проголосовал против, а Apple, Google, Microsoft и Mozilla поддержали решение. Let's Encrypt — бесплатный центр сертификации, через который AutoSSL выпускает сертификаты на наших серверах, — сокращает срок своих сертификатов быстрее, чем требуют правила.

Каждое изменение касается сертификатов, выпущенных в этот день или позже. Уже выпущенный сертификат сохраняет свой срок действия до замены.

Зачем сокращают срок сертификатов#

Сертификат подтверждает, что ключ принадлежит домену, и подписан центром сертификации. Прекратить его действие досрочно можно двумя способами: отозвать или дождаться, пока истечёт срок. Отзыв работает плохо. Не все браузеры его проверяют, а те, что проверяют, делают это по-разному. После этих атак Google предупредил владельцев сайтов, что на блокировку на стороне браузера не стоит полагаться как на защиту их пользователей.

Истечение срока срабатывает всегда. Сертификат, который действует 47 дней, а не 398, ограничивает время, в течение которого можно пользоваться ошибочно выпущенным сертификатом, ключом, украденным с сервера, или сертификатом, оставшимся у прежнего владельца домена. С другой стороны ту же лазейку закрывает более короткий срок, в течение которого можно повторно использовать проверку домена: центру сертификации придётся чаще убеждаться, что тот, кто просит сертификат, по-прежнему управляет доменом.

Обратная сторона — частые продления. Сертификат на 47 дней приходится менять примерно раз в месяц. Вручную за этим не уследить, а когда продлевает программа, этого никто не замечает.

Если ваш сайт на нашем хостинге#

Каждый домен, который размещён в аккаунте хостинга и указывает на наши серверы, получает бесплатный сертификат Let's Encrypt. Его выпускает и продлевает AutoSSL в cPanel. Обычно тот же сертификат покрывает www, mail и webmail, поэтому сертификат, который видит ваша почтовая программа при подключении к mail.вашдомен.com, продлевается вместе с сертификатом сайта. Для таких сертификатов изменения из таблицы выше не требуют от вас никаких действий. Почтовые программы тоже перенастраивать не нужно. Если в программе сервером указан node11.maxinodes.com, это собственный сертификат сервера, тоже от Let's Encrypt и тоже продлевается автоматически. Ящики Microsoft 365 и Google Workspace используют сертификаты своих провайдеров.

9 октября 2026 г. мы проверили, как это на самом деле устроено на наших серверах:

• AutoSSL проверяет все аккаунты каждые три часа.
• Замену сертификата Let's Encrypt он начинает, когда до окончания срока остаётся меньше 29 дней. Нынешние 90-дневные сертификаты меняются примерно на 61-й день.
• Сертификаты на 64 дня будут меняться начиная с 35-го дня, на 45 дней — начиная с 16-го. В обоих случаях, если продление не удастся, у AutoSSL остаётся 29 дней на повторные попытки, прежде чем срок истечёт.
• Если продление раз за разом не удаётся, cPanel присылает письмо вам и нам ещё до окончания срока. Обычно причина в том, что DNS домена больше не указывает на наши серверы.

На самом сайте вы ничего не заметите: в сведениях о сертификате в браузере просто будет стоять более свежая дата выпуска. Заметить можно другое — письма. Когда AutoSSL продлевает сертификат, cPanel пишет вам, если у одного из дополнительных имён, которые он пытается покрыть, например webdisk.вашдомен.com или autodiscover.вашдомен.com, нет DNS-записи, указывающей на наши серверы. Это не значит, что сайт остался без сертификата, но с короткими сертификатами такие письма будут приходить чаще.

Кому придётся что-то сделать#

Сайт с просроченным сертификатом не перестаёт работать, но браузер показывает перед ним страницу с предупреждением, и многие посетители на этом уходят. Вот когда такое может случиться.

Вы купили сертификат и установили его сами. Некоторые компании покупают сертификат у коммерческого центра сертификации, часто с проверкой организации (OV) или расширенной проверкой (EV), потому что этого требует договор, банк или тендер. С марта такой сертификат можно выпустить максимум на 200 дней, а с марта 2027 года — на 100. Сертификат, который продаётся «на год», теперь приходит в виде двух и более коротких сертификатов, которые в течение года нужно перевыпускать и устанавливать заново.

На наших серверах AutoSSL не заменяет сертификат, который вы установили сами, даже когда у того истекает срок. Так сделано намеренно, чтобы платный сертификат никогда не меняли на бесплатный без спроса, но это значит, что каждую переустановку делаете вы. Если платный сертификат на самом деле никому не нужен, проще всего от него отказаться: удалите его в разделе SSL/TLS в cPanel, затем на странице SSL/TLS Status нажмите Run AutoSSL. Бесплатный сертификат появится через несколько минут, а не при следующей проверке, до которой может пройти до трёх часов. Или напишите нам, и мы сделаем это сами.

Вы скопировали сертификат куда-то ещё. Если сертификат вашего домена установлен ещё и на другой системе, например в CDN, куда вы его загрузили, на межсетевом экране, почтовом шлюзе или в приложении, в которое этот сертификат встроен, эти копии никто не обновляет. Бесплатный сертификат на наших серверах заменяется, когда до конца срока остаётся около четырёх недель, поэтому каждая копия истекает примерно через четыре недели после очередного продления. Надёжнее, чтобы каждая из этих систем получала собственный сертификат: большинство CDN делают это бесплатно. Иначе после каждого продления все копии придётся заменять вручную.

У вас есть собственный сервер в другом месте. Let's Encrypt советует, чтобы ACME-клиент опирался на ACME Renewal Information (ARI): так центр сертификации сам подсказывает, когда продлевать. Другой вариант — продлевать сертификат, когда пройдёт примерно две трети его срока. Всех, у кого продление привязано к фиксированному числу дней, Let's Encrypt просит перейти на один из этих способов ещё до февраля 2027 года: таймер на 80 или 83 дня с 64-дневными сертификатами уже не сработает, таймер на 60 дней оставит всего четыре дня запаса, а с 45-дневными сертификатами не сработает вовсе.

Как увидеть все сертификаты, выпущенные на ваш домен#

Chrome, Safari и Firefox не принимают публично доверенный сертификат, если он не опубликован в открытых журналах Certificate Transparency, поэтому любой сертификат, которым можно обмануть браузер посетителя, виден всем. Посмотреть такие сертификаты для любого домена может кто угодно, а значит, и вы можете проверить свой.

1. Откройте crt.sh и введите свой домен. Чтобы увидеть и поддомены, введите %.example.com с вашим доменом вместо example.com. Сервис бесплатный и иногда перегружен; если он не отвечает, попробуйте позже.
2. Посмотрите, кто выпустил сертификаты, и на даты. У сайта на нашем хостинге это должен быть Let's Encrypt, а новый сертификат должен появляться примерно раз в два месяца, с февраля 2027 года — примерно раз в пять недель, с февраля 2028-го — примерно раз в 16 дней. В каждом сертификате несколько имён, например cpanel., mail., webmail. и autodiscover. перед вашим доменом: их добавляет cPanel, так и должно быть.
3. Любой другой центр сертификации — повод разобраться, а не паниковать. Свои сертификаты бывают у CDN, у конструктора сайтов на поддомене или у прежнего хостинга. Но несколько сертификатов, полученных при сентябрьских атаках, тоже выпустил Let's Encrypt, поэтому сертификат Let's Encrypt, появившийся между продлениями или для имени, которым вы не пользуетесь, требует такого же объяснения. Если нашли сертификат, происхождение которого не понимаете, напишите нам: мы скажем, выпущен ли он нашими серверами.

Если не хочется проверять вручную, есть платные сервисы мониторинга, которые присылают письмо, когда на ваш домен выпускают новый сертификат. Google советует следить так за всеми своими доменами, включая припаркованные и национальные версии основного.

Записи CAA: стоит добавить, но у них есть предел#

Запись CAA — это строка в DNS вашего домена, в которой перечислены центры сертификации, имеющие право выпускать для него сертификаты. Перед выпуском центр сертификации обязан её проверить. Если запись есть, центр, которого в ней нет, откажет в выпуске сертификата на ваш домен, даже если запрашивающий прошёл все остальные проверки.

Сентябрьские атаки она бы не остановила, и Google говорит об этом прямо: во время активного перехвата DNS запись CAA выпуск сертификата не предотвратит. Кто управляет вашим DNS, тот управляет и записью CAA. Но в остальное время она сужает возможности для ошибочного выпуска.

Для сайта на нашем хостинге в записи указывают Let's Encrypt — центр сертификации, с которым работает AutoSSL:

example.com.  CAA  0 issue "letsencrypt.org"

• Если ваш домен использует наши серверы имён, добавьте запись в личном кабинете: пункт DNS в верхнем меню (страница «Управление DNS»), тип CAA, флаги 0, тег issue, значение letsencrypt.org.
• Если сертификаты для вашего домена выпускает кто-то ещё, например CDN или платформа интернет-магазина на поддомене, добавьте вторую запись с его центром сертификации, иначе при следующем продлении этот сервис не сможет получить сертификат. Какой центр сертификации он использует, подскажет сам сервис.
• Google также советует привязывать запись к конкретной учётной записи в центре сертификации (так называемому ACME-аккаунту). На виртуальном хостинге этого делать не стоит: учётная запись принадлежит серверу, а не вам, и если сайт когда-нибудь переедет на другой сервер, такая привязка заблокирует продление.

То, что нельзя настроить#

Для сентябрьских атак не понадобилось взламывать ни один сайт: злоумышленники действовали через реестры трёх национальных доменных зон. Никакая настройка сайта, его DNS или сертификата не могла бы этому помешать: домен защищён ровно настолько, насколько защищён реестр, который его обслуживает. В ваших силах только быстро это заметить, и поэтому проверка через Certificate Transparency важнее любой записи, которую можно добавить.

Коротко#

• Срок действия сертификатов сокращается поэтапно: сейчас 200 дней, с марта 2027 года — 100, с марта 2029-го — 47. Let's Encrypt переходит на 64 дня в феврале 2027 года и на 45 дней в феврале 2028-го.
• На нашем хостинге бесплатные сертификаты продлеваются сами, а наши серверы начинают продление достаточно рано, чтобы справиться и с сертификатами на 45 дней.
• Если вы сами установили платный сертификат, переустанавливать его придётся чаще. Если он никому не нужен, пусть его заменит бесплатный.
• Время от времени ищите свой домен на crt.sh. Сертификат, происхождение которого непонятно, — повод задать вопрос.
• Запись CAA с letsencrypt.org — полезное дополнение, но взлом реестра она бы не остановила.