Две даты, которые кладут весь сайт: срок сертификата и срок домена

Почему автопродление всё равно ломается, что меняется, когда срок сертификата сжимается до 47 дней, как на самом деле теряют домен и какие проверки ловят и то, и другое вовремя.

Инфраструктура · Опубликовано: 23 сентября 2026 г. · 5 мин чтения · Дмитрий Орлов

Большинство сбоев частичные: тормозит одна страница, сломана одна форма. Два события — тотальные. Истёк TLS-сертификат — каждый браузер показывает полноэкранное предупреждение. Истекла регистрация домена — имя перестаёт резолвиться вовсе. Оба события известны за месяцы, и оба всё равно застают команды врасплох.

«Но у нас же автопродление»

ACME-клиенты вроде certbot сами продлевают сертификаты Let's Encrypt — именно поэтому за ними никто и не следит. Ломается обычно не сам клиент:

• Поменялся DNS. Домен переехал на новый хостинг или CDN, и проверка HTTP-01 теперь приходит на сервер, который о ней ничего не знает.
• Порт 80 закрыт файрволом. Кто-то закрыл голый HTTP «ради безопасности», а HTTP-01 без него не работает.
• Редирект на /.well-known/acme-challenge/. Общее правило отправляет запрос на главную или страницу логина, и валидация падает.
• Cron умер вместе со старым сервером. Сайт перенесли, таймер продления — нет.
• Продлён на диске, но не подхвачен. certbot записал новый файл, а nginx не перезагрузили, и он продолжает отдавать старый сертификат из памяти.
• Ещё одна копия где-то ещё. CDN или балансировщик терминирует TLS своим сертификатом, загруженным руками два года назад.

Сроки сокращаются

Решение CA/Browser Forum SC-081 поэтапно урезает максимальный срок сертификата: 200 дней с марта 2026-го, 100 дней с марта 2027-го, 47 дней с марта 2029-го. Продлевать вручную раз в год уже не выйдет, а к 2029-му это означало бы ручную замену примерно каждый месяц. Автоматизация больше не опция — значит, настоящая работа теперь в том, чтобы следить за самой автоматизацией.

Правильной даты мало

Две проблемы проходят проверку даты и всё равно ломают клиентов. Нет промежуточного сертификата: десктопные браузеры часто догружают его сами, а Android, curl и API-клиенты падают. И слабая подпись: всё, что подписано SHA-1, отвергается сразу; ищите sha256WithRSAEncryption или аналог на ECDSA.

Как на самом деле теряют домен

Домены редко истекают просто по забывчивости. Обычно у регистратора привязана просроченная карта, а уведомления о продлении уходят на ящик сотрудника, уволившегося в 2021-м.

Дальше всё зависит от зоны и регистратора, но типичная последовательность такая: дата истечения прошла; регистратор может выставить clientHold, и домен выпадает из DNS; идёт льготный период автопродления, часто до 45 дней, когда продлить ещё недорого; затем redemption, около 30 дней, когда восстановление стоит отдельных денег; затем pendingDelete, около пяти дней, когда сделать уже ничего нельзя. После этого имя освобождается, и сервисы drop-catching регистрируют ценные домены за секунды.

В ту же ревизию стоит включить ещё две вещи. Запрет трансфера (clientTransferProhibited) должен быть включён, чтобы домен нельзя было тихо увести. И NS-серверов должно быть минимум два, лучше в разных сетях или у разных провайдеров.

Проверьте сами

Что сервер реально отдаёт:

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -enddate -issuer

Флаг -servername важен: без SNI можно получить сертификат по умолчанию, а не тот, что выписан на ваш хост. Для домена есть RDAP — структурированный преемник WHOIS:

curl -s https://rdap.org/domain/example.com

Смотрите событие expiration, регистратора и список status.

Мониторинг, который работает

• Алерты за 30, 14 и 7 дней. Одно уведомление легко пропустить, три нарастающих — нет.
• Проверяйте снаружи. Смотрите то, что получает браузер, а не файл на диске. Так ловятся и забытый reload, и копия на CDN, и неполная цепочка.
• Проверяйте каждое имя. www, api, mail и корневой домен часто несут разные сертификаты из разных мест.

В отчёте SiteScan видно, сколько дней осталось сертификату, кто его выпустил и каким алгоритмом он подписан, сколько дней осталось домену, кто регистратор, какие статусы стоят в реестре и включён ли запрет трансфера. Если поставить сайт на наблюдение, всё это перепроверяется по расписанию, и напоминание приходит, пока продление ещё рутина.

Чек-лист

1. Сертификату на каждом имени осталось больше 30 дней.
2. Отдаётся полная цепочка; подпись SHA-256 или лучше.
3. Продление автоматизировано, и перезагрузка после него тоже.
4. Путь ACME-проверки доступен по порту 80 без редиректов.
5. У регистратора действующая карта и общий актуальный email.
6. Автопродление домена и запрет трансфера включены.
7. NS-серверов минимум два.
8. Алерты срабатывают за 30, 14 и 7 дней.