SSL-сертификат
Проверьте действительность TLS-сертификата, срок действия, издателя, SAN и глубину цепочки для любого хоста.
О инструменте «SSL-сертификат»
Проверяет TLS-сертификат домена — сроки действия, издателя, субъекта и полную цепочку сертификатов до корневого — за один запрос, без открытия браузера и просмотра сертификата вручную. Истечение сертификата — одна из самых частых «самопричинённых» аварий в продакшене. Проблемы с цепочкой часто являются реальной причиной ошибки «недействительный сертификат», даже если конечный сертификат сам по себе в порядке — отсутствующий промежуточный сертификат пройдёт в браузерах, которые его кэшируют, и не пройдёт в тех, что нет.
Wildcard-сертификат вида *.example.com покрывает ровно один уровень поддомена — он не покрывает поддомен второго уровня вроде sub.another.example.com, и это частое неверное предположение приводит к неожиданному несовпадению сертификата.
Похожие инструменты
Что проверять
- Сколько дней осталось. Инструмент предупреждает, если осталось меньше 14 дней. Продление должно происходить автоматически задолго до этого.
- Список SAN. Браузеры смотрят только на альтернативные имена субъекта (Subject Alternative Names), а не на Common Name. Каждое обслуживаемое имя, включая голый домен и
www, должно быть в списке или покрываться wildcard-сертификатом. - Издатель и глубина цепочки. Публичный сертификат обычно строится так: конечный сертификат → промежуточный → корневой.
Частые ошибки и их причины
| Ошибка | Обычная причина |
|---|---|
| Срок действия сертификата истёк | Не сработало автоматическое продление. Проверьте таймер (systemctl list-timers | grep certbot) и выполните certbot renew --dry-run. |
| Несовпадение имени | Имени нет в списке SAN, или оно на уровень глубже, чем покрывает wildcard. |
| Unable to get local issuer certificate | Сервер отдаёт конечный сертификат без промежуточного. В nginx укажите в ssl_certificate файл fullchain.pem, а не cert.pem. |
| В браузере работает, в curl или приложениях — нет | Почти всегда тот же недостающий промежуточный сертификат: браузеры часто кэшируют или подгружают его сами, другие клиенты — нет. |
Сроки действия сертификатов сокращаются
CA/Browser Forum поэтапно сокращает максимальный срок действия публичных TLS-сертификатов: 200 дней с марта 2026 года, 100 дней с марта 2027 года и 47 дней с марта 2029 года. Продлевать вручную скоро станет непрактично, поэтому автоматизируйте продление уже сейчас (ACME-клиенты, например certbot или acme.sh).
Проверка со своего компьютера
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -issuer -ext subjectAltName
Поддерживаемые версии протокола и шифры покажет сканер TLS.