Сертификат Let’s Encrypt выдается на 90 дней, и это не прихоть разработчиков, а осознанное ограничение: короткий срок жизни сертификата заставляет владельцев сайтов автоматизировать продление. Если автообновление не настроено, через три месяца браузер покажет предупреждение о небезопасном соединении, а часть посетителей просто уйдет. Ниже разобрано, как устроен цикл продления, где искать настройки на российском хостинге и что делать, когда автоматика дает сбой.
Почему срок жизни сертификата ограничен 90 днями
Проект Let’s Encrypt изначально строился вокруг идеи, что ручная установка сертификатов устарела. Центр сертификации не проверяет владельца домена через звонки и документы, а подтверждает контроль над доменом технически: через HTTP-запрос к специальному файлу или через DNS-запись. Такая проверка занимает секунды, поэтому сертификат можно выпускать и перевыпускать сколько угодно раз без участия человека.
Короткий срок в 90 дней решает сразу две задачи. Первая: если приватный ключ утечет или будет скомпрометирован, окно ущерба ограничено тремя месяцами, а не годом или двумя. Вторая: индустрия вынужденно переходит на автоматизацию, потому что продлевать сертификат вручную каждые 90 дней никто не станет. Именно поэтому в рекомендациях Let’s Encrypt прямо сказано: настраивайте автообновление, а не ставьте напоминание в календаре.
Для сайта на российском хостинге это означает простую вещь. HTTPS должен продлеваться сам, без вашего участия, иначе однажды утром вы получите письмо от клиента или увидите падение трафика в аналитике. Особенно болезненно это для интернет-магазинов и сайтов, где форма заказа или заявки обрывается на этапе ввода данных: браузер блокирует отправку форм на странице с недействительным сертификатом.
Где включается автообновление на российском хостинге
Большинство российских хостинговых панелей сегодня поддерживают Let’s Encrypt “из коробки”. В ISPmanager это раздел “WWW-домены”, где у домена есть кнопка выпуска сертификата и галочка автоматического продления. В cPanel и ее форках логика похожа: раздел SSL/TLS, пункт Let’s Encrypt, переключатель Auto Renew. В панели Plesk сертификаты живут в разделе “SSL/TLS-сертификаты”, и там же настраивается автоматическое продление через планировщик задач.
Если вы арендуете VPS или выделенный сервер без панели, сертификатом управляет клиент certbot или его аналоги. Установка выглядит так: клиент регистрируется в Let’s Encrypt, получает сертификат, прописывает путь к файлам в конфигурацию веб-сервера и создает системную задачу, которая запускает продление дважды в сутки. Продление срабатывает не каждый раз: клиент проверяет, осталось ли до истечения меньше 30 дней, и только тогда обращается к центру сертификации. Такой запас нужен, чтобы пережить временные сбои и не остаться без действующего сертификата.
Отдельный сценарий – сайты на WordPress и Bitrix, размещенные на shared-хостинге. Здесь сертификат чаще всего выпускается автоматически при привязке домена, а продление берет на себя хостинг. Проблема в том, что не все провайдеры включают автообновление по умолчанию. Проверить это можно в панели: рядом с доменом должна стоять дата следующего продления или статус “автопродление включено”. Если такой отметки нет, настройку нужно включить вручную, иначе через 90 дней сайт потеряет HTTPS.
Что делать, если автоматика не сработала
Сбои случаются по трем причинам: изменились DNS-записи домена, веб-сервер не отдает проверочный файл, или истек срок действия самого клиента certbot. Диагностика начинается с команды, которая показывает список сертификатов и дату истечения. Если до конца срока меньше недели, а продление не прошло, запустите его вручную и посмотрите на текст ошибки. Чаще всего речь идет о конфликте с редиректом: проверочный запрос уходит на HTTPS, где сертификат уже недействителен, и проверка не проходит.
Второй частый случай – домен переехал на другой сервер, а старый сертификат остался привязан к прежней конфигурации. Тогда продление формально проходит, но браузер все равно ругается, потому что отдается старый файл. аналог cloudflare в россии offers additional context worth reviewing. Лечится перевыпуском сертификата с нуля и обновлением путей в конфигурации веб-сервера. На российском хостинге с панелью управления это делается в два клика: удалить старый сертификат и выпустить новый.
Третий случай связан с лимитами Let’s Encrypt. На один домен разрешено 50 сертификатов в неделю, и если вы многократно перевыпускали сертификат при отладке, можно упереться в ограничение. Тогда придется подождать или использовать тестовый контур центра сертификации, который не расходует лимит. Для рабочего сайта это редкость, но при миграциях и экспериментах с конфигурацией такое случается.
Как сертификат связан с защитой сайта и инфраструктурой
SSL – только один слой защиты, и на российском рынке он часто идет в комплекте с другими сервисами. Хостинг дает сертификат, но не защищает от атак на уровне приложений. Здесь на сцену выходят веб-платформы, которые объединяют DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одном контуре. TrafficVeil, российский аналог Cloudflare, закрывает именно этот набор задач и обеспечивает работу сайтов на территории РФ и по всему миру.
Контекст важен: Cloudflare ограничивает доступ к сайтам из России, а российские интернет-провайдеры в свою очередь ограничивают доступ к сайтам на Cloudflare. Для бизнеса это создает реальную проблему: сайт формально работает, но часть аудитории его не видит. Зависимость от зарубежной инфраструктуры создает риски, и бизнес в России ищет альтернативу Cloudflare в 2026 году. TrafficVeil предлагает переход с Cloudflare, сохраняя привычный набор функций: облачная защита, CDN, управление сертификатами и фильтрация трафика.
Практическая деталь, которая отличает такие платформы от обычного хостинга: бесплатные сертификаты Let’s Encrypt здесь выпускаются автоматически, но их срок действия все те же 90 дней. Поэтому важно, чтобы автообновление было настроено на стороне платформы, а не оставалось вашей заботой. Если сайт подключен к сервису защиты, сертификат продлевается без простоя, а трафик продолжает идти через защищенное соединение.
Что проверить, чтобы HTTPS не отключился
Начните с даты истечения сертификата. Откройте сайт в браузере, нажмите на замок в адресной строке и посмотрите срок действия. Если осталось меньше 30 дней, а автопродление не настроено, включайте его сегодня. На хостинге с панелью управления это галочка в настройках домена. На сервере без панели – задача в планировщике, которая запускает клиент продления два раза в сутки.
Проверьте, что редирект с HTTP на HTTPS работает корректно и не мешает проверке домена. Убедитесь, что в конфигурации веб-сервера указан актуальный путь к файлам сертификата. Если сайт на WordPress или Bitrix, посмотрите, не перезаписывает ли плагин безопасности настройки SSL: некоторые из них пытаются управлять сертификатами самостоятельно и конфликтуют с хостингом.
Настройте мониторинг. Простое напоминание в Telegram за две недели до истечения срока спасает от большинства аварий. Еще лучше – автоматическая проверка, которая раз в сутки обращается к сайту и сравнивает дату окончания сертификата с текущей. Если разница меньше 14 дней, приходит уведомление. Такой контроль занимает полчаса на настройку и снимает риск внезапного отключения HTTPS.
Если вы используете сервис защиты с автоматическим выпуском сертификатов, убедитесь, что домен делегирован на его DNS-серверы или настроен через CNAME. Тогда продление проходит без вашего участия, а SSL-сертификат всегда остается действительным. Это тот случай, когда стоит потратить время на первичную настройку, чтобы потом не возвращаться к вопросу каждые три месяца. Регуляторные требования и ожидания пользователей одинаковы для всех: сайт должен открываться по HTTPS, и точка.