Что такое HTTPS и SSL-сертификат и почему его теперь продлевают чаще

HTTPS это обычный протокол сайтов, к которому добавлено шифрование, а SSL-сертификат это файл на сервере, по которому браузер убеждается, что открыл именно ваш сайт, а не подделку. Технически сейчас работает протокол TLS, раньше он назывался SSL, но в разговоре по-прежнему говорят «SSL». Для владельца бизнеса главное другое: сертификат имеет срок, и этот срок с 15 марта 2026 года не может быть больше 200 дней.

Раньше его меняли раз в год и забывали. Теперь забыть труднее и дороже: сайт с просроченным сертификатом браузер встречает красной страницей, и клиент до вашей формы не доходит.

Что делает HTTPS для посетителя вашего сайта

Без шифрования всё, что человек отправляет сайту, идёт по сети открытым текстом: имя и телефон из формы, пароль от админки, содержимое корзины. Любой, кто сидит между ним и сервером, например в общей сети кафе, может это прочитать или подменить. С HTTPS между браузером и сервером ходит зашифрованный поток.

Вторая задача сертификата менее заметна: он подтверждает, что сервер принадлежит тому, чьё имя написано в адресе. Выдаёт сертификат удостоверяющий центр, организация, которой доверяют браузеры. Он проверяет, что заказчик управляет доменом, и подписывает файл. Если подпись неверна или срок вышел, браузер предупреждает посетителя.

У моего сайта сегодня такой сертификат: выдан центром Let’s Encrypt 28 октября 2026 года, действует до 26 января 2027 года. Это 90 дней, то есть заметно меньше предельных 200. Я проверил это командой, которую приведу ниже: любой желающий может сделать то же самое со своим сайтом.

Что изменилось с 15 марта 2026 года и что будет дальше

Предельный срок действия публичных сертификатов сокращает CA/Browser Forum, объединение удостоверяющих центров и производителей браузеров. Голосование, которое предложила компания Apple, закончилось 11 апреля 2025 года. По данным компании DigiCert, расписание выглядит так:

С какой даты	Предельный срок сертификата	Сколько можно использовать результат проверки домена
до 15 марта 2026	398 дней	398 дней
15 марта 2026	200 дней	200 дней
15 марта 2027	100 дней	100 дней
15 марта 2029	47 дней	10 дней

Последняя колонка объясняет, почему вручную менять сертификат будет всё труднее. К 2029 году сертификат живёт 47 дней, а подтверждение владения доменом можно использовать повторно только 10 дней. DigiCert прямо пишет, что ручная перепроверка неизбежно приведёт к сбоям. Вывод для владельца простой: продление должно происходить само, а кто-то должен смотреть, что оно действительно происходит.

Я не проверял, как именно правило применяется к сертификатам, выпущенным до этой даты, и предполагаю, что предел действует для сертификатов, выпускаемых после неё. Для вашего сайта это означает одно: спросите у того, кто продлевает сертификат, какой срок стоит у вас сейчас.

Что увидит клиент, если на сайте нет HTTPS

Страницу без HTTPS браузеры давно помечают как «не защищено». Google пошёл дальше: 28 октября 2025 года компания объявила, что Chrome 154, который выходит в октябре 2026 года, по умолчанию включит режим «Always Use Secure Connections». Перед первым заходом на публичный сайт без HTTPS браузер покажет окно с кнопками «Continue to site» и «Return», где написано, что посторонние могут увидеть или изменить передаваемые данные. Вышла ли уже эта версия и включился ли режим у ваших клиентов, я не проверял: пишу «Google объявил».

Есть и менее заметная поломка: смешанное содержимое. Страница открыта по HTTPS, но подгружает картинку, скрипт или шрифт по адресу с http://. По документации MDN, браузеры сами переводят такие картинки на HTTPS, а скрипты, стили, шрифты и фреймы блокируют. На практике это выглядит так: страница открылась, но без оформления или не работает форма. Причина обычно в одном забытом адресе.

Как проверить свой сайт за минуту

Нажмите на значок замка слева от адреса, откройте сведения о сертификате и посмотрите две вещи: для какого имени он выдан и до какого числа действует. Если вы хотите сделать это командой, вот она (подставьте свой домен):

echo | openssl s_client -connect example.ru:443 -servername example.ru 2>/dev/null | openssl x509 -noout -subject -issuer -dates

В ответе нужны строки notBefore и notAfter: начало и конец срока. Затем проверьте, что адрес с http:// сам отправляет посетителя на https://:

curl -sI http://example.ru/ | head -3

Ответ 301 Moved Permanently и адрес https:// в строке Location означают, что всё в порядке. У меня именно так.

Ещё проверьте оба написания: с www и без. Сертификат выдают на определённые имена, и бывает, что одно защищено, а другое нет.

Кто у вас продлевает сертификат

У этого вопроса три честных ответа. Хостинг продлевает сам и присылает уведомление. Подрядчик продлевает по договору. Никто не знает. Третий ответ встречается чаще, чем хотелось бы, и на сроке 200 дней он обходится дороже, чем на сроке в год.

Задайте техподдержке вашего хостинга или подрядчику четыре вопроса. Какой центр выдал сертификат и на какой срок? Продлевается ли он автоматически? Куда придёт сообщение, если продление не прошло, и читает ли его кто-нибудь? Кто отвечает, когда оно не прошло в субботу вечером? Если на какой-то вопрос нет ответа, это и есть слабое место.

Когда я вам не нужен

Если у вас обычный хостинг, на котором сертификат ставится и продлевается кнопкой «включить», и вы получаете письма о сроке, отдельная работа не нужна. Достаточно один раз в квартал открыть сайт и убедиться, что замок на месте.

Если сайт стоит на отдельном сервере, а продлением занимался человек, который давно не отвечает, нужен тот, кто возьмёт это на себя. В моей поддержке сайта сроки домена и сертификата отслеживаются отдельно: это одна из причин, по которой её покупают. Если сертификат уже истёк, начните со статьи «Сайт не защищён, сертификат истёк: что делать». Если вы не знаете, кто отвечает за ваш сертификат, напишите мне адрес сайта, и я скажу, что вижу снаружи.

Источники

• DigiCert: TLS-сертификаты официально сократят срок до 47 дней: расписание сроков и срок повторного использования проверки домена.
• Google: объявление о режиме «Always Use Secure Connections» по умолчанию, 28 октября 2025.
• MDN: смешанное содержимое.
• Собственная проверка сертификата и переадресации сайта esaweb.ru командами выше, 30 октября 2026 года.