# Як працює автоматичне оновлення сертифіката

> Як SSL-сертифікат ZRAZU оновлюється на сайті сам: особисте посилання, задача за розкладом на вашому боці і вибір інструкції під свій хостинг.

URL: https://zrazu.com/docs/ssl-auto/

Сертифікат за підпискою ZRAZU випускається частинами: кожна частина діє обмежений строк (зараз до 200 днів, далі за правилами галузі — менше). Коли настає час наступної частини, ми випускаємо її самі. Щоб новий сертифікат опинився на сайті без вашої участі, його має забрати ваш сервер, хостинг чи хмара — за розкладом, раз на добу.

## Що для цього є

- **Особисте посилання на сертифікат.** У кабінеті, у картці сертифіката, розділ «Встановлення» → «Посилання для сервера». За ним завжди лежить чинний сертифікат підписки: `https://api.zrazu.com/ssl-pull/zsp_ВАШ_ТОКЕН/fullchain.pem` (сертифікат разом із проміжними), `https://api.zrazu.com/ssl-pull/zsp_ВАШ_ТОКЕН/cert.pem` і `https://api.zrazu.com/ssl-pull/zsp_ВАШ_ТОКЕН/chain.pem` окремо.
- **Ваш закритий ключ лишається у вас.** Наступні частини підписки випускаються на той самий ключ, тому ключ кладете один раз, а далі оновлюється лише публічний сертифікат. Посилання ключа не віддає і не приймає.
- **Задача за розкладом на вашому боці.** Скрипт раз на добу забирає сертифікат за посиланням і, якщо він новий, ставить його. Скрипти — у кожній інструкції нижче.

Ми не просимо паролів від хостингу, ключів від хмари чи закритого ключа сертифіката: ставить сертифікат ваш сервер, а не ми.

## Оберіть свій випадок

| Де працює сайт | Чи оновлюється сам | Інструкція |
| --- | --- | --- |
| Свій сервер Linux (nginx, Apache, Caddy, HAProxy, Docker) | так | [Сервер Linux](https://zrazu.com/docs/ssl-auto-linux.md) |
| Windows Server з IIS | так | [Windows і IIS](https://zrazu.com/docs/ssl-auto-windows-iis.md) |
| Kubernetes | так | [Kubernetes](https://zrazu.com/docs/ssl-auto-kubernetes.md) |
| Хостинг із cPanel (Hostiq, Hostpro, Ukrnames, GoDaddy, Namecheap…) | так | [cPanel](https://zrazu.com/docs/ssl-auto-cpanel.md) |
| AWS: балансувальник, CloudFront, API Gateway | так | [AWS](https://zrazu.com/docs/ssl-auto-aws.md) |
| Azure: Application Gateway, App Service, Front Door | так | [Azure](https://zrazu.com/docs/ssl-auto-azure.md) |
| Google Cloud: балансувальник із Certificate Manager | так | [Google Cloud](https://zrazu.com/docs/ssl-auto-gcp.md) |
| Cloudflare перед сайтом | залежить від тарифу | [Cloudflare](https://zrazu.com/docs/ssl-auto-cloudflare.md) |
| Хостинг з панеллю без API: hosting.ua (adm.tools), Cityhost, Mirohost, ISPmanager, Plesk, DirectAdmin, Hostinger, Hetzner | вручну, ми нагадаємо | [Панелі хостингу](https://zrazu.com/docs/ssl-auto-panels-manual.md) |
| Конструктор сайтів: Tilda, Wix, Shopify, Prom, Horoshop… | наш сертифікат там не потрібен | [Конструктори](https://zrazu.com/docs/ssl-auto-site-builders.md) |

Не знаєте, що у вас? Відкрийте будь-яку інструкцію і скопіюйте промт для ШІ: він спитає про ваш хостинг і поведе далі.

## Як переконатися, що все працює

- У картці сертифіката біля посилання видно, коли ваш сервер востаннє забирав сертифікат і чи забрав він чинний.
- Перевірка сайту: [https://zrazu.com/tools/ssl/example.com/](https://zrazu.com/tools/ssl/example.com/) показує, який сертифікат віддає сайт і до якої дати він діє.
- Після кожної нової частини ми надсилаємо лист. Якщо за кілька днів сайт усе ще віддає старий сертифікат, отже задача на сервері не спрацювала: відкрийте журнал задачі (у кожній інструкції сказано, де він).

## Безпека посилання

- Посилання віддає лише публічний сертифікат — той самий, що сайт показує кожному відвідувачу. Та все ж не публікуйте його: хто має посилання, той бачить, коли ваш сервер його забирає.
- Посилання показуємо один раз, у базі зберігаємо лише його відбиток. Загубили чи засвітили — у картці «Нове посилання»: старе одразу перестане працювати, у скрипті замініть адресу.
- Посилання діє до кінця підписки. Невідоме, вимкнене чи прострочене посилання відповідає однаково — «не знайдено» (404).