Истёк SSL-сертификат: что происходит с сайтом и как это исправить

Коротко: когда SSL-сертификат истёк, сайт физически остаётся на месте, но браузер перестаёт пускать на него посетителей и показывает красный экран с предупреждением о небезопасном соединении. Трафик падает почти до нуля в первые же минуты, реклама начинает откручиваться вхолостую, формы и оплаты не работают. Лечится это за 15-40 минут: нужно выпустить новый сертификат (чаще всего бесплатный Let's Encrypt прямо в панели хостинга), установить его, перезапустить веб-сервер и проверить цепочку. Чтобы ситуация не повторилась, включите автопродление и внешний мониторинг срока действия.

Актуально на сентябрь 2026 года. По опыту поддержки Honey Hunters Digital истёкший сертификат - одна из трёх самых частых причин обращений в формате «сайт лежит, сделайте срочно». И почти всегда это не авария, а просроченная задача: сертификат выпускали вручную год назад, человек, который это делал, уже не работает с проектом, письмо о продлении ушло на почту, которую никто не читает. Ниже - что именно происходит с сайтом, сколько это стоит бизнесу, как починить прямо сейчас и как настроить всё так, чтобы больше не возвращаться к этой теме.

Что происходит с сайтом в первые минуты после истечения сертификата

Сайт продолжает работать, но браузер блокирует вход на него. Вместо страницы посетитель видит полноэкранное предупреждение: «Подключение не защищено», «Ваше подключение не является приватным» или «Сертификат сайта истёк». Чтобы попасть на сайт, нужно нажать «Дополнительно» и подтвердить переход - этот шаг делают единицы, остальные закрывают вкладку и уходят к конкуренту.

Важная деталь: сервер при этом отвечает нормально, мониторинг доступности вида «пингуем главную» может показывать зелёный статус, а хостинг-панель - что всё в порядке. Проблема живёт на уровне TLS-рукопожатия, и увидеть её можно только браузером или специальной проверкой. Поэтому владелец бизнеса часто узнаёт о ней не из мониторинга, а из звонка клиента: «У вас там что-то с сайтом, зайти не могу».

Что ломается вместе с сайтом:

• Формы и заявки. Посетитель не доходит до формы, а если и доходит, отправка часто блокируется браузером.
• Оплаты. Платёжные шлюзы работают только по HTTPS и отказываются принимать колбэки с сайта с невалидным сертификатом.
• Интеграции и API. Обмен с 1С, CRM, службами доставки, мессенджерами рвётся: библиотеки проверяют сертификат строго и просто получают ошибку.
• Мобильное приложение. Если приложение ходит за данными на тот же домен, экраны с контентом перестают грузиться.
• Реклама. Яндекс Директ и другие системы умеют останавливать объявления, ведущие на недоступный сайт, и до момента остановки часть бюджета уходит в пустоту.
• Почтовые рассылки и вебхуки. Ссылки из писем ведут на предупреждение браузера, вебхуки от внешних сервисов не доставляются.

Как выглядит ошибка: расшифровка кодов браузера

Код ошибки в браузере сразу подсказывает, в чём именно дело: истёк срок, не тот домен или проблема с цепочкой. Это экономит время диагностики, потому что «красный экран» бывает по разным причинам, и не каждая лечится продлением.

Отдельная ловушка - сертификат, выпущенный только на основной домен. Сайт открывается по адресу без www, а по адресу с www показывает предупреждение. Половина посетителей и часть старых ссылок ведут именно на вариант с www, и часть трафика тихо теряется месяцами. Проверять нужно оба написания.

Сколько теряет бизнес за сутки простоя

Потери считаются просто: берём среднее число заявок в сутки и умножаем на среднюю выручку с заявки. Для небольшого сайта услуг с 5 заявками в день и средним чеком 40 000 ₽ сутки недоступности - это порядка 200 000 ₽ упущенной выручки, даже если часть клиентов вернётся позже.

К прямым потерям добавляются менее очевидные:

1. Рекламный бюджет. Клики продолжают списываться, пока система не остановит объявления. При дневном бюджете 5 000 ₽ несколько часов открутки на битый сайт - это тысячи рублей впустую.
2. Поисковый трафик. Если робот заходит на сайт в момент проблемы, страницы могут временно выпасть из выдачи. Восстановление занимает от нескольких дней до пары недель.
3. Доверие. Красный экран с надписью «небезопасно» читается клиентом как «сайт взломали». Часть аудитории не вернётся, даже когда всё починят.
4. Стоимость срочности. Аварийная работа в выходные или ночью почти всегда обходится дороже плановой.

По наблюдениям Honey Hunters Digital, в 7 случаях из 10 сертификат истекает не в будний день, а в выходные или в праздники, когда сайт никто не проверяет, и простой растягивается на двое суток вместо часа.

Если сайт приносит заявки, простой из-за просроченного сертификата - самая обидная строка в этом списке: она стоит денег, но не стоит ничего, чтобы её не допустить.

Что делать прямо сейчас: 6 шагов за полчаса

Порядок действий одинаковый почти для любого хостинга. Если у вас есть доступ в панель управления, всё решается без программиста.

1. Убедитесь, что дело в сертификате. Откройте сайт в режиме инкогнито и посмотрите код ошибки. Если это ERR_CERT_DATE_INVALID, диагноз подтверждён. Если сайт не открывается вовсе, проблема другая, и её стоит искать по чек-листу «сайт не работает».
2. Зайдите в панель хостинга в раздел SSL. У большинства российских хостеров есть кнопка бесплатного выпуска Let's Encrypt в один клик, выпуск занимает 1-5 минут.
3. Выпустите сертификат сразу на все нужные имена. Домен, вариант с www и поддомены, которые реально используются (например, магазин или личный кабинет). Один забытый поддомен = ещё один красный экран завтра.
4. Проверьте, что сайт открывается по HTTPS. Обновите страницу с очисткой кеша, проверьте оба написания адреса: с www и без.
5. Перезапустите веб-сервер, если сертификат ставили вручную. Nginx и Apache читают сертификат при старте: без перезапуска в браузере ещё какое-то время будет висеть старый.
6. Включите автопродление. Прямо в этот же заход, пока задача перед глазами. Иначе вы вернётесь сюда через 90 дней или через год.

Если панели нет, а сайт живёт на своём сервере, сертификат выпускается утилитой certbot одной командой, а продление вешается на системный таймер. Это работа на 20-30 минут для системного администратора, и она делается один раз.

Почему сертификаты истекают: 7 реальных причин

Почти всегда причина организационная, а не техническая. Вот что встречается в проектах чаще всего.

• Сертификат ставили руками. Разовая установка год назад без автопродления - гарантия повторения истории ровно через год.
• Письма уходят в никуда. Уведомления приходят на почту бывшего сотрудника или на ящик, который никто не открывает.
• Автопродление сломалось молча. Сменился IP, поменялась структура сайта, появился редирект, который ломает проверку домена, и робот перестал подтверждать владение.
• Переехали на другой хостинг. После переноса сайта сертификат остался на старом сервере вместе с настроенным продлением.
• Подрядчик перестал отвечать. Сертификат был оформлен на его аккаунт, доступов нет. Это отдельная и болезненная история: что делать, разбирали в материале «Разработчик пропал».
• Не оплатили платный сертификат. Счёт от удостоверяющего центра потерялся в бухгалтерии.
• Сертификат продлили, но не установили. Новый файл лежит в письме, на сервере по-прежнему старый. Это самая частая версия «мы же всё оплатили, почему не работает».

Какой сертификат выбрать: DV, OV, EV и российские УЦ

Для 9 из 10 сайтов достаточно бесплатного DV-сертификата с автопродлением. Платить имеет смысл там, где нужны проверка юрлица, страховка или поддержка редких устройств.

Про российские сертификаты важно знать одну вещь: они корректно работают в Яндекс Браузере и других браузерах с предустановленным корневым сертификатом, а в остальных потребуют от пользователя ручной установки корня. Поэтому на массовом сайте их обычно ставят как дополнение или резерв, а не как единственный вариант.

Отдельно стоит держать в голове отраслевой тренд: максимальный срок жизни публичного сертификата поэтапно сокращается решением CA/Browser Forum - с прежних 398 дней до 47 дней к 2029 году. Практический вывод простой: ручное продление раз в год скоро перестанет быть рабочей схемой в принципе. Автоматизация из «хорошей практики» превращается в обязательное условие.

Как настроить автопродление и забыть о проблеме

Автопродление - это 20 минут работы один раз, после которых сертификат обновляется сам за 30 дней до истечения. Способ зависит от того, где живёт сайт.

• Обычный хостинг с панелью. В разделе SSL включается галочка «Автопродление Let's Encrypt». Ничего больше делать не нужно, но раз в квартал стоит проверять дату в браузере.
• VPS с ISPmanager, cPanel, FastPanel. Тот же механизм, но проверьте, что задание в планировщике действительно выполняется: у панелей бывают тихие сбои после обновлений.
• Свой сервер с nginx или Apache. Certbot плюс системный таймер. Обязательно пропишите хук перезагрузки веб-сервера после обновления: без него новый сертификат выпустится, но в браузере останется старый.
• Сайт за облачным прокси. Часть сервисов выдаёт свой сертификат на границе, но сертификат на самом сервере всё равно нужен. Проверяйте оба уровня.
• Конструкторы сайтов. Сертификат обычно обслуживает платформа, но при подключении своего домена продление иногда ломается. Об особенностях таких платформ писали в статье про сайт на Тильде.

Проверить срок действия из командной строки можно одной строкой: echo | openssl s_client -servername ваш-домен.ru -connect ваш-домен.ru:443 2>/dev/null | openssl x509 -noout -dates. В ответе будет дата notAfter - это и есть день, когда сайт закроется красным экраном, если ничего не сделать.

Мониторинг: как узнать за 30 дней, а не от клиента

Правильный мониторинг предупреждает о сертификате минимум за 14-30 дней и проверяет не доступность сервера, а именно валидность TLS. Это принципиальная разница: обычная проверка «отвечает ли сайт» истёкший сертификат не поймает.

1. Внешний сервис мониторинга. Большинство популярных сервисов, включая бесплатные тарифы, умеют следить за сроком сертификата и слать уведомление в почту и Telegram.
2. Яндекс Вебмастер и Google Search Console. Не заменяют мониторинг, но присылают письма о проблемах с доступностью и безопасностью сайта.
3. Свой скрипт. Команда openssl выше плюс отправка сообщения в рабочий чат - 15 строк кода и никакой абонентской платы.
4. Календарь как минимальный вариант. Если ничего из перечисленного нет, поставьте в общий календарь компании повторяющееся напоминание за месяц до даты notAfter.
5. Договор поддержки. В нормальном договоре мониторинг сертификата входит в базовые работы. На что ещё смотреть в договоре, разбирали в материале про SLA в поддержке сайта.

В поддержке Honey Hunters Digital проверка срока сертификата стоит в регулярном регламенте вместе с проверкой резервных копий и обновлений: это одна из тех задач, которые ничего не стоят, пока их делают, и дорого обходятся при одном пропуске.

Уведомление должно приходить минимум двум людям и хотя бы в один канал, который читают ежедневно. Письмо на info@ с пометкой «важно» этому требованию не отвечает.

5 ошибок после обновления сертификата

Сертификат обновили, а красный экран остался - почти всегда причина в одной из пяти типовых ошибок.

• Не перезапустили веб-сервер. Nginx и Apache держат сертификат в памяти. Помогает reload сервиса.
• Неполная цепочка. Установили только сам сертификат без промежуточного. В десктопном браузере сайт может открываться, а в мобильном и в интеграциях - нет. Проверяется любым публичным SSL-чекером.
• Забыли про www или поддомены. Сертификат покрывает не все имена, по которым на сайт реально заходят.
• Смешанный контент. Страница отдаётся по HTTPS, а часть картинок и скриптов подключена по http://. Замок в браузере становится серым, часть функций блокируется.
• Нет редиректа с HTTP на HTTPS. Сайт доступен по обоим протоколам, поисковик видит два адреса одной страницы. Лечится редиректом 301 и указанием https-версии как основной.

Перед тем как закрывать задачу, полезно снять свежую резервную копию рабочей конфигурации сервера: это пять минут сейчас и сэкономленный вечер потом. Про регламент копий подробно писали в статье о резервных копиях сайта.

Как истёкший сертификат влияет на SEO

Короткий простой в пределах нескольких часов обычно не приводит к потере позиций: поисковые системы понимают, что сайты иногда недоступны, и возвращают страницы в выдачу после переобхода. Опасны длинные простои - от суток и дольше.

Что происходит при затяжной проблеме: робот получает ошибку соединения, страницы помечаются как недоступные, часть из них выпадает из индекса, а вместе с ними уходят позиции по коммерческим запросам. Возвращение занимает от нескольких дней до 2-3 недель в зависимости от частоты обхода. Дополнительно страдает поведенческий сигнал: люди заходят на сайт из поиска и мгновенно возвращаются назад.

Ещё одна тонкость касается ИИ-поиска и голосовых ассистентов: если сайт в момент обхода отвечает ошибкой, он просто не попадает в подборку источников для ответа, а следующий шанс наступит только при следующем обходе. Для сайта, который системно работает над видимостью в поисковом продвижении, это ощутимая потеря.

Чек-лист профилактики: 10 пунктов

Пройдите список один раз, и тема сертификатов перестанет быть источником авралов.

1. Сертификат выпущен на все используемые имена: домен, www, поддомены.
2. Автопродление включено и хотя бы раз отработало успешно.
3. После обновления сертификата веб-сервер перезагружается автоматически.
4. Внешний мониторинг следит за датой notAfter и предупреждает минимум за 14 дней.
5. Уведомления приходят двум людям и в чат, который читают каждый день.
6. Домен и хостинг оформлены на компанию, а не на подрядчика или бывшего сотрудника.
7. Настроен редирект 301 с HTTP на HTTPS и с лишнего написания домена на основное.
8. На сайте нет смешанного контента: все ресурсы подключаются по HTTPS.
9. Цепочка сертификатов полная, проверена внешним чекером, а не только своим браузером.
10. Сроки продления домена и сертификата записаны в одном месте вместе с доступами.

Последний пункт - самый недооценённый. Реестр доступов и дат решает не только проблему сертификата: он же спасает при смене подрядчика и при любой аварии. Как его собрать, мы разбирали в чек-листе передачи сайта новому подрядчику.

Когда стоит отдать это на поддержку

Держать сертификат, домен, копии и обновления в голове у собственника - плохая идея: эти задачи редкие, но каждая из них при пропуске останавливает продажи. В поддержке сайта они закрываются фоном и стоят копейки по сравнению с одним днём простоя.

Ориентир по нашим тарифам: базовый пакет - от 15 000 ₽ в месяц, это 4 часа работ и «Красная кнопка» на срочные ситуации, неиспользованные часы в нём не переносятся. Пакет за 51 000 ₽ в месяц считается по часовой ставке 3 000 ₽, за 96 000 ₽ в месяц - по ставке 2 900 ₽, и в обоих случаях неизрасходованные часы переносятся на следующий месяц. Выпуск и настройка автопродления сертификата занимают меньше часа, то есть укладываются даже в базовый пакет с большим запасом.

Если сайт сейчас показывает предупреждение о безопасности, не откладывайте: напишите нам через форму на сайте, и мы поднимем HTTPS в тот же день, а заодно проверим цепочку, редиректы и смешанный контент. А чтобы такие вещи всплывали заранее, а не в момент аварии, заглядывайте в наш телеграм-канал «Тусовка владельцев сайтов»: там коротко и по делу о том, что ломается на сайтах у всех и как это чинят.

Частые вопросы

Можно ли работать без SSL-сертификата вообще?
Технически сайт откроется, но браузеры будут помечать его как небезопасный, формы и оплаты работать не будут, а поисковые системы отдадут предпочтение конкурентам с HTTPS. Для коммерческого сайта это не вариант.

Сколько времени занимает выпуск нового сертификата?
Бесплатный DV-сертификат выпускается за 1-5 минут. Платный OV-сертификат требует проверки компании и занимает от 1 до 3 рабочих дней, EV - до недели.

Почему сайт открывается без www, а с www ругается?
Сертификат выпущен только на одно имя. Нужно перевыпустить его сразу на домен и на вариант с www, а лишнее написание закрыть редиректом 301 на основное.

Бесплатный Let's Encrypt хуже платного?
По уровню шифрования - нет, разница только в типе проверки, гарантиях удостоверяющего центра и сроке действия. Для сайта услуг и большинства магазинов бесплатного DV-сертификата достаточно.

Сертификат обновили, а браузер всё равно показывает старый. Что делать?
Сначала перезапустить веб-сервер, затем очистить кеш браузера и проверить сайт в режиме инкогнито. Если проблема осталась, почти наверняка не установлен промежуточный сертификат: проверьте цепочку внешним SSL-чекером.