Раньше HTTPS означал дорогие и муторные сертификаты. Let's Encrypt это изменил: он бесплатен, а весь путь от выпуска до продления можно полностью автоматизировать. Вот как это работает с точки зрения защищающегося.
Как это работает: доказательство контроля над доменом, автоматически (ACME)
Раньше сертификаты означали подачу заявки, отправку документов о личности и ожидание — всё вручную. Let's Encrypt заменяет это на ACME (Automatic Certificate Management Environment) — протокол, превращающий весь обмен в шаги «машина с машиной».
Ключевой момент: проверяется только контроль над доменом (Domain Validation, DV). Юридическое существование компании не проверяется — именно поэтому процесс достаточно лёгок, чтобы полностью автоматизироваться. Само шифрование при этом не слабее, чем у платного сертификата.
Срок в 90 дней рассчитан на автоматическое продление
Сертификаты Let's Encrypt действуют 90 дней. Короткое окно — намеренное.
Ограничить ущерб от утёкшего ключа
Если приватный ключ сервера когда-либо утечёт, короткоживущий сертификат сокращает период, в течение которого им можно злоупотреблять — и даже если отзыв запаздывает, он истекает сам собой.
Сделать автоматическое продление нормой
90 дней непрактично продлевать вручную, поэтому операторам приходится автоматизировать — что подтолкнуло всю отрасль к мысли «сертификаты — это то, что ротируют автоматически». На практике инструменты продления начинают пытаться примерно за 30 дней до истечения.
Значит, настоящая работа — это мониторинг
Автоматическое продление может остановиться незаметно для всех: сломанный cron, изменённые права, проверка домена, которая больше не проходит. Если не заметить, через 90 дней сертификат истечёт. Защитная привычка — следить за успешностью продления и числом оставшихся дней.
Наш взгляд: мы сами работаем именно так (автоматический TLS)
Этот сайт работает на веб-сервере Caddy, который выпускает и продлевает сертификаты Let's Encrypt автоматически, стоит лишь направить на него домен (настройки сертификата практически нет). Цель — «не думать о сертификатах»: чем меньше мест, где человек прикасается вручную, тем меньше инцидентов с истечением из-за забытой замены.
Если же вы запускаете certbot по cron, безопасный ход — следить, действительно ли этот cron ещё работает, а не просто верить, что да.
Сроки сокращаются (график на октябрь 2026 года)
Сегодня стандарт — 90 дней, но Let's Encrypt объявил о поэтапном сокращении сроков. CA/Browser Forum — отраслевой орган производителей браузеров и удостоверяющих центров — также решил поэтапно сокращать максимальный срок действия сертификатов, которым доверяют браузеры, начиная с марта 2026 года, до 47 дней в марте 2029 года.
| Когда | Что меняется |
|---|---|
| На октябрь 2026 года | Срок действия 90 дней |
| С 13 мая 2026 года | Профиль tlsserver (по выбору) предлагает 45-дневные сертификаты |
| С 10 февраля 2027 года | По умолчанию (профиль classic) — 64 дня; повторное использование проверки домена сокращается до 10 дней |
| С 16 февраля 2028 года | По умолчанию — 45 дней; повторное использование проверки домена сокращается до 7 часов |
С января 2026 года также общедоступен профиль shortlived с сертификатами примерно на шесть дней (160 часов). Сертификаты для IP-адресов выдаются только в виде таких короткоживущих сертификатов.
Практический вывод: не зашивайте интервал продления жёстко, например «каждые 60 дней». Let's Encrypt рекомендует клиент с поддержкой ARI (ACME Renewal Information), при которой CA сообщает клиенту, когда продлевать; без ARI продлевайте по прошествии двух третей срока действия. Задание cron с фиксированным числом дней начнёт приводить к истечениям, когда сроки сократятся.
Что прекратилось в 2025 году: OCSP и письма об истечении
В 2025 году Let's Encrypt прекратил две вещи. Будьте внимательны, если опираетесь на старые статьи или конфигурации.
- OCSP (проверка при каждом обращении, не отозван ли сертификат): URL OCSP были убраны из сертификатов 7 мая 2025 года, а OCSP-серверы отключены 6 августа. Проверка отзыва теперь опирается на CRL (списки отозванных сертификатов). Одна из причин — конфиденциальность: через OCSP удостоверяющий центр мог узнавать, с какого IP-адреса посещают какой сайт.
- Письма с уведомлением об истечении: прекращены 4 июня 2025 года. Раньше по мере приближения срока приходило письмо; теперь — нет. Нужен собственный мониторинг истечения.
Инцидент №1: заглохшее продление, а затем истечение
Самая частая проблема с HTTPS — это не атака, а истёкший сертификат. При истечении браузер выдаёт полноэкранное предупреждение, и посетители почти всегда уходят. Причина почти всегда — «автоматизация продления сломалась, и никто не заметил».
Именно поэтому стоит иметь способ периодически смотреть на срок истечения собственного сертификата. Аудит безопасности сайта этого сайта проверяет TLS-сертификат (оставшиеся дни, срок истечения, устаревшие протоколы) на сайте, владение которым вы подтвердили, наряду с остальными проверками. Автоматизируйте продление, а затем проверяйте снаружи, что автоматизация всё ещё работает. Вместе эти две привычки почти полностью предотвращают инциденты с истечением.
Сравнение способов проверки домена (challenge)
ACME предлагает три способа доказать, что вы контролируете домен. Выберите подходящий для вашей конфигурации.
| Способ | Что вы размещаете | Wildcard-сертификаты | Подходит для |
|---|---|---|---|
| HTTP-01 | Файл по фиксированному пути на веб-сервере | Нет | Обычного веб-сервера, доступного по порту 80 |
| DNS-01 | TXT-запись в DNS | Да | Когда нужен *.example.com или сервер недоступен из интернета |
| TLS-ALPN-01 | Ответ при TLS-соединении на порт 443 | Нет | Крупных хостинг-провайдеров и обратных прокси |
Автоматизация DNS-01 означает, что на сервере хранится ключ API DNS. Если этот ключ утечёт, кто-то сможет менять записи вашего домена, поэтому выбирайте DNS-провайдера, который позволяет ограничить ключ TXT-записями, и храните ключ в как можно меньшем числе мест.
Как проверить свой сайт
Проверьте издателя и срок действия в браузере
Убедитесь, что продление действительно выполняется
certbot certificates показывает даты истечения, а certbot renew --dry-run проверяет продление. На хостах с systemd убедитесь, что таймер certbot есть в выводе systemctl list-timers. Caddy записывает выпуск и продление сертификатов в свои журналы.Поищите сертификаты, которые вы не запрашивали
Ограничьте, какие CA могут выпускать для вас сертификаты
Следите за оставшимися днями снаружи
Пример: истечение корневого сертификата в 2021 году
Сертификаты проверяются по цепочке, которая заканчивается доверенным корневым сертификатом. Изначально сертификатам Let's Encrypt доверяли через корневой сертификат другого CA (DST Root CA X3), и срок его действия истёк 30 сентября 2021 года.
С того дня старые устройства и ПО, не доверявшие собственному корневому сертификату Let's Encrypt (ISRG Root X1), начали показывать предупреждения о сертификате на сайтах с Let's Encrypt (старые устройства Android продолжили работать благодаря особой договорённости). Сертификат сайта был продлён правильно, но пользователи старых устройств больше не могли подключиться.
Если вы поддерживаете API или системы, к которым подключаются старые устройства, следите за объявлениями Let's Encrypt и готовьтесь к смене промежуточных и корневых сертификатов. Let's Encrypt не рекомендует зашивать промежуточные сертификаты в конфигурацию; используйте цепочку, которую получает ваш ACME-клиент.
Читать дальше
- Урок из инцидента: Heartbleed (изъян TLS/OpenSSL, поставивший под угрозу приватные ключи множества серверов)
- Проверьте свой сайт: аудит безопасности сайта (TLS-сертификат, заголовки, открытые файлы в одном отчёте)
- Основы: базовый чек-лист безопасности для инди-разработчиков
Источники (первичные)
- Официальный блог Let's Encrypt (2 декабря 2025, план сокращения сроков до 45 дней) — letsencrypt.org (даты перехода на 64 и 45 дней, сроки повторного использования проверки, рекомендация ARI)
- Официальный блог Let's Encrypt (15 января 2026, общая доступность шестидневных сертификатов и сертификатов для IP-адресов) — letsencrypt.org
- Официальный блог Let's Encrypt (5 декабря 2024, прекращение OCSP) — letsencrypt.org (даты удаления URL OCSP и отключения OCSP-серверов)
- Официальный блог Let's Encrypt (22 января 2025, прекращение писем об истечении) — letsencrypt.org
- Let's Encrypt, «Challenge Types» — letsencrypt.org
- Let's Encrypt, «Integration Guide» — letsencrypt.org (время продления, не зашивать промежуточные сертификаты)
- Let's Encrypt, «DST Root CA X3 Expiration (September 2021)» — letsencrypt.org
- CA/Browser Forum, «Ballot SC081v3» (принят 11 апреля 2025) — cabforum.org (максимальный срок публичных сертификатов — 47 дней с марта 2029 года)