Проверить сертификат SSL

Что именно считывает NetCheck

Когда вы запускаете проверку, NetCheck открывает с сайтом зашифрованное соединение, как это сделал бы браузер, и получает сертификат, который предъявляет сервер. Без промежуточной базы данных: это сертификат, реально выдаваемый в данный момент.

Сколько действует сертификат?

Правила CA/Browser Forum, объединяющего удостоверяющие центры и разработчиков браузеров, поэтапно сокращают этот срок. С марта 2026 года публичный сертификат не может действовать дольше 200 дней. В марте 2027 года предел снизится до 100 дней, а в марте 2029 года - до 47 дней. Сертификаты Let's Encrypt уже действуют 90 дней.

На практике продлевать вручную становится невозможно. Если ваш хостинг или сервер не продлевает сертификат автоматически (по протоколу ACME, например с помощью Certbot), самое время это настроить. Планируйте продление за две-три недели до окончания срока, чтобы успеть вмешаться, если автоматика откажет.

Самые частые ошибки

• Сертификат истёк: автоматическое продление незаметно не сработало, часто потому, что изменилась DNS-запись или файрвол блокирует проверку.
• Имя не охвачено: сертификат выдан на primer.ru, но не на www.primer.ru, или наоборот. Посмотрите строку «Также охватывает»: там должны быть обе формы.
• Неполная цепочка: сервер отправляет сертификат сайта, но забывает промежуточный сертификат центра. Одни браузеры находят его сами, другие нет, поэтому ошибка появляется лишь на некоторых устройствах. Настройте сервер с файлом «fullchain».
• Самоподписанный сертификат: допустим во внутренней сети, но никогда на публичном сайте.
• Смешанное содержимое: сертификат в порядке, но страница загружает изображения или скрипты по http://. Тогда браузер показывает перечёркнутый замок. Это не проблема сертификата: нужно исправить адреса на странице.

DV, OV, EV: нужно ли платить?

Сертификат с проверкой домена (DV) лишь доказывает, что заявитель контролирует домен. Именно такой бесплатно выдаёт Let's Encrypt, с точно таким же шифрованием, как у платных сертификатов. Сертификаты OV и EV добавляют проверку компании, но браузеры уже много лет не показывают эту разницу в адресной строке. Для подавляющего большинства сайтов достаточно бесплатного DV-сертификата, который исправно продлевается.

Сертификаты «wildcard»

Сертификат *.primer.ru охватывает все поддомены одного уровня, например blog.primer.ru или shop.primer.ru, но не сам primer.ru и не a.b.primer.ru. Он упрощает управление, когда поддоменов много, ценой большего риска при утечке закрытого ключа.

Ограничение, о котором стоит знать

Чтобы прочитать сертификат, NetCheck устанавливает соединение по TLS 1.2 - версии, в которой сертификат передаётся открытым текстом во время начального обмена. Её по-прежнему принимают почти все серверы. Сервер, настроенный только на TLS 1.3, вернёт понятное сообщение: сайт работает, но инструмент не может прочитать его сертификат.

Частые вопросы

Сертификат действителен, но браузер показывает предупреждение: почему?

Чаще всего причина в неохваченном имени (с www или без), неполной цепочке или смешанном содержимом, загружаемом по http. Проверьте и время на устройстве: часы, сбившиеся на несколько дней, заставляют браузер считать действующий сертификат просроченным или ещё не вступившим в силу.

За сколько дней до окончания нужно действовать?

При автоматическом продлении - ничего: достаточно проверять, что дата регулярно сдвигается. Без автоматики продлевайте за две-три недели. Если осталось меньше недели, считайте это срочным делом.

Бесплатный сертификат менее надёжен?

Нет. Шифрование одинаковое. Платный сертификат отличается проверкой организации, поддержкой и иногда финансовой гарантией, но не безопасностью соединения.

Значок замка гарантирует честность сайта?

Нет. Он лишь означает, что соединение зашифровано и сертификат соответствует домену. У фишингового сайта вполне может быть действительный сертификат. Смотрите на доменное имя, а не на замок.