SSL сертификати и HTTPS: видове, срок на валидност и автоматично подновяване

Когато адресът на сайта започва с https://, връзката между браузъра и сървъра е криптирана и браузърът е проверил, че сървърът наистина отговаря за този домейн. Проверката става чрез сертификат. По навик го наричаме SSL сертификат, макар днешният протокол да е TLS. Ето какво трябва да знае собственикът на сайт: видовете сертификати, сроковете им, които стават все по-кратки, и настройките, с които HTTPS работи правилно.

Какво удостоверява сертификатът

Сертификатът се издава от удостоверяващ орган (CA). Той свързва името на домейна с ключ, който притежава само вашият сървър. Има три нива на проверка:

• DV (Domain Validation): органът проверява само че контролирате домейна. Това е достатъчно за криптирането и за катинарчето в браузъра.
• OV (Organization Validation): проверява се и организацията, на чието име е сертификатът.
• EV (Extended Validation): най-подробната проверка на организацията.

И трите дават едно и също криптиране. Разликата е в това колко данни за собственика е проверил органът.

Безплатни сертификати

Let's Encrypt е нестопански удостоверяващ орган, който издава сертификати без такса. Някои хостинг доставчици, които го вграждат, може да взимат малка такса за администриране. Let's Encrypt издава само DV сертификати и няма планове за OV или EV. Поддържа сертификати за няколко имена наведнъж, както и wildcard сертификати (*.example.bg), но последните само чрез DNS проверка (DNS-01): трябва да добавите TXT запис в зоната на домейна. Как се добавя запис, обясняваме в статията как работи DNS.

Сроковете стават по-кратки

Към днешна дата стандартният сертификат на Let's Encrypt важи 90 дни, а по желание можете да получавате и сертификати за шест дни. Препоръката е 90-дневният сертификат да се подновява около 60-ия ден, в случаен час.

Сроковете обаче падат за всички органи. През април 2025 г. CA/Browser Forum, който определя правилата за публичните сертификати, прие решение SC-081: максималната валидност ще намалее от 398 на 47 дни, на етапи от март 2026 г. до март 2029 г.

Let's Encrypt обяви свой график:

Промяната важи от следващото подновяване след всяка дата. Изводът е ясен: ръчното подновяване е на изчезване. Let's Encrypt изрично съветва да не се разчита на твърдо зададен 60-дневен интервал, да се включи ACME Renewal Information (ARI), ако програмата за подновяване го поддържа, и да има известие, когато подновяването се провали.

Как да настроите HTTPS правилно

Автоматично подновяване. Попитайте хостинга дали подновява сертификатите сам. Ако имате собствен сървър, използвайте ACME клиент и проверете, че подновяването работи без вас.

Пренасочване от HTTP. Сървърът трябва да отговаря на http:// адресите с постоянно пренасочване (301) към същия адрес с https://. Така и посетителите, и търсачките стигат до една версия на страницата.

HSTS. Заглавката Strict-Transport-Security казва на браузъра, че сайтът се отваря само през HTTPS. След като я е видял, браузърът сам превръща всеки http:// адрес в https:// и не позволява на посетителя да подмине грешка в сертификата. Основни параметри:

• max-age: колко секунди браузърът помни правилото; задължителен параметър;
• includeSubDomains: правилото важи и за поддомейните;
• preload: заявка домейнът да влезе в списъците, вградени в браузърите; изисква max-age поне една година (31536000 секунди) и includeSubDomains.

MDN дава за пример Strict-Transport-Security: max-age=31536000; includeSubDomains. Заглавката се изпраща само по HTTPS: по HTTP браузърите я пренебрегват. Включвайте includeSubDomains и preload чак когато сте сигурни, че всички поддомейни работят с HTTPS, защото браузърът ще помни правилото до изтичането на max-age.

Кратък списък за проверка

• сертификатът покрива и името с www, и без него;
• подновяването е автоматично и има известие при грешка;
• всички http:// адреси пренасочват с 301 към https://;
• HSTS е включен, след като HTTPS работи стабилно;
• в страниците няма изображения или скриптове, заредени по http://.

HTTPS е и сред изискванията на WordPress към хостинга, за които пишем в основите на WordPress. Ако тепърва избирате доставчик, вижте и видовете хостинг.