Автоматизация SSL-сертификатов

Автоматизированные SSL-сертификаты: сравнение тарифов

Мы предлагаем шесть автоматизированных SSL-сертификатов в двух группах: четыре тарифа RapidSSL и GeoTrust, которые работают как с AutoInstall SSL®, так и с ACME, и два сертификата Sectigo и DigiCert для вашего собственного ACME-клиента.

Тарифы, поддерживающие оба метода автоматизации

Используйте тот метод, который подходит вашему серверу. Каждый тариф — это годовая подписка с бесплатным неограниченным переоформлением, поэтому более короткие сроки действия сертификата означают больше автоматических переоформлений, а не больше покупок.

Сертификаты для вашего собственного клиента автоматизации

Эти сертификаты работают только с ACME, поэтому вам нужно будет подключить их к ACME-клиенту, такому как Certbot, acme.sh или win-acme.

Какой метод автоматизации SSL подходит вашему серверу?

Существует четыре способа автоматизации SSL-сертификатов: AutoInstall SSL® для вашего собственного сервера Apache, NGINX или IIS; ACME для любой среды с ACME-клиентом; платформа управления жизненным циклом сертификатов для больших парков серверов; и встроенный SSL вашего хостинга на общем хостинге. Правильный инструмент автоматизации SSL-сертификатов зависит от того, где размещён ваш сайт, и от того, какой у вас доступ к серверу. Найдите свою конфигурацию в таблице ниже.

Используете общий хостинг? Большинство общих хостингов включают бесплатный сертификат. В cPanel это называется AutoSSL, что отличается от AutoInstall SSL®. Вы всё равно можете установить платный сертификат на общем хостинге, но вам придётся продлевать и переустанавливать его вручную: как минимум 4 раза в год с 2027 года и 8 и более раз к 2029 году. Если ваш хостинг предоставляет доступ по SSH, может подойти ACME-клиент, например acme.sh; см. наше руководство по cPanel ACME и сначала уточните у вашего хостинга. Конструкторы сайтов, такие как Wix, Shopify и Squarespace, как правило, используют только собственные сертификаты.

Не уверены, какой метод вам подходит? Свяжитесь с нашей круглосуточной поддержкой и сообщите тип вашего сервера — мы подскажем правильный вариант.

Почему автоматизация SSL теперь необходима

В апреле 2025 года CA/Browser Forum принял голосование SC-081v3, которое сокращает максимальный срок действия публичных SSL/TLS-сертификатов в три этапа. Apple, Google, Microsoft и Mozilla проголосовали за него. Первый этап вступил в силу с 15 марта 2026 года, и каждый последующий этап делает автоматизацию SSL-сертификатов всё более необходимой.

Хронология срока действия SSL (2026–2029)

При текущем 28-дневном окне продления AutoInstall SSL®. ACME-клиенты, поддерживающие ARI, продлевают сертификат, когда это предлагает удостоверяющий центр, поэтому точное число может отличаться.

Как часто нужно продлевать SSL-сертификат?

Согласно голосованию SC-081v3, теперь как минимум два раза в год (максимум 200 дней с 15 марта 2026 года), 4 раза в год с 15 марта 2027 года (100 дней) и 8 раз в год с 15 марта 2029 года (47 дней). Автоматическое продление происходит немного чаще, поскольку начинается заранее: примерно 2, 5 и 20 раз в год при сегодняшнем 28-дневном окне продления.

Объём продлений быстро растёт. При сегодняшнем 28-дневном окне 50 сертификатов со сроком действия 47 дней означают примерно 1000 продлений в год, а это нереально отслеживать вручную.

Пропущенное продление SSL также очень заметно. Браузеры показывают предупреждение безопасности на весь экран, посетители уходят, а онлайн-оформление заказов перестаёт работать, пока сертификат не будет заменён.

Повторное использование валидации домена также сокращается. С 15 марта 2029 года успешную проверку домена можно будет использовать повторно только в течение 10 дней, поэтому почти каждое продление потребует новой валидации. Автоматизация берёт на себя и этот шаг.

199 или 200 дней?

Оба значения — 199 и 200 дней — верны. Правила CA/B Forum гласят, что сертификат не должен превышать 200 дней и не рекомендуется превышать 199. DigiCert, удостоверяющий центр, стоящий за RapidSSL и GeoTrust, выпускает 199-дневные сертификаты, чтобы оставаться в рамках лимита.

Как работает автоматизированное управление SSL-сертификатами

После настройки автоматизированное управление SSL-сертификатами повторяет один и тот же цикл для каждого сертификата:

Вы настраиваете это один раз на каждый сервер. Ваш приватный ключ остаётся на вашем собственном сервере, и пока ваша подписка активна, каждое последующее переоформление, включая дополнительные, вызванные более короткими сроками действия, проходит через тот же цикл автоматически. Это и есть автоматизированное продление SSL-сертификата на практике: никаких напоминаний, никакого копирования файлов.

Продление — это не то же самое, что развёртывание

Продлённый сертификат защищает ваших посетителей только после того, как он установлен и сервер перезагружен. Качественная автоматизация продления SSL-сертификатов охватывает все три шага: продление, установку и перезагрузку. AutoInstall SSL® выполняет все эти действия. С ACME это зависит от клиента: плагины Certbot для Apache и NGINX выполняют установку, в то время как другим клиентам может потребоваться хук развёртывания.

Автоматизация без вмешательства для Apache, NGINX и IIS

AutoInstall SSL® — это агент автоматизации DigiCert для веб-серверов. Это самый простой вариант, если вы управляете собственным сервером и не хотите ничего настраивать после установки.

• Поддерживаемые серверы: IIS на Windows Server 2016, 2019, 2022 и 2025; Apache и NGINX на Ubuntu, Debian, CentOS и других основных дистрибутивах Linux.
• Что вам нужно: доступ root или администратора к серверу.
• Валидация: по файлу или DNS.
• Продления: за 28 дней до истечения срока действия, с ежедневной проверкой и оповещением по электронной почте, если что-то пойдёт не так.

Он работает с каждым из тарифов RapidSSL и GeoTrust, указанных выше. Он не работает на общем хостинге, в конструкторах сайтов, таких как Wix или Squarespace, или в управляемых учётных записях cPanel или Plesk без root-доступа, поскольку агенту необходимо устанавливать программное обеспечение непосредственно на сервере.

Используйте свой клиент: Certbot, Caddy, cert-manager и другие

ACME, Automatic Certificate Management Environment, — это широко используемый открытый стандарт автоматизации сертификатов, определённый в RFC 8555 (2019). Каждый сертификат на этой странице поддерживает его: четыре тарифа RapidSSL и GeoTrust, Sectigo ACME CaaS и DigiCert ACME. С платным сертификатом, поддерживающим ACME, вы получаете уникальные учётные данные для автоматизации после покупки. Ваш клиент подключается к вашей учётной записи через External Account Binding (EAB): ID ключа и секретный ключ (HMAC-ключ), которые вы вводите один раз. После этого клиент самостоятельно запрашивает сертификаты, выполняет валидацию и продлевает их, а ваш приватный ключ никогда не покидает ваш сервер.

ACME работает с Certbot, acme.sh, win-acme, cert-manager и Caddy, а также со многими файрволами и NAS-устройствами. Более новые клиенты также поддерживают ACME Renewal Information (ARI, RFC 9773), что позволяет удостоверяющему центру, который это предлагает, сообщать вашему клиенту, когда нужно продлевать сертификат.

Настраиваете клиент впервые? У нас есть 13 пошаговых руководств по ACME-клиентам: от Apache и NGINX до Kubernetes, почтовых серверов и Remote Desktop, включая win-acme для IIS, FortiGate, pfSense и Synology NAS.

Бесплатные и платные автоматизированные SSL-сертификаты

Let’s Encrypt бесплатен и полностью автоматизируем. Как только продление автоматизировано, короткий срок действия сам по себе не является проблемой. Реальные различия заключаются в типах валидации, гарантии, поддержке и оповещениях.

Строки со сроком действия показывают, что выпускает DigiCert; строка с проверкой домена показывает максимум CA/B Forum, а удостоверяющий центр может использовать более короткие сроки.

Оба варианта шифруют трафик абсолютно одинаково, поэтому выбор сводится к тому, что окружает сам сертификат. Сертификаты DV подтверждают только контроль над доменом. Сертификаты OV и EV также проверяют организацию, стоящую за сайтом, что требуется некоторым компаниям, партнёрам и отделам закупок.

Если вашему сайту нужно только базовое шифрование и вам удобно работать с Certbot, Let’s Encrypt — хороший выбор. Если вам нужна гарантия, валидация OV или EV, оповещения о сбоях или круглосуточная поддержка, выберите платный автоматизированный сертификат. Подробнее читайте в статье Let’s Encrypt против SSL Dragon.