# Файли сертифіката й установка на сервер

> Які файли дає ZRAZU після випуску: fullchain, cert, chain. Як зібрати PFX для IIS і Windows і куди їх покласти. Закритий ключ лишається у вас.

URL: https://zrazu.com/docs/ssl-files/

Коли сертифікат випущено, його файли доступні в картці. Закритого ключа в нас немає, тому на сервер ставлять два файли: сертифікат від нас і ваш ключ, створений разом із CSR.

## Які файли є

Відкрийте картку сертифіката, розділ «Встановлення» або «Файли сертифіката» ([кабінет](https://vse.zrazu.com/ssl/)). Файли можуть завантажувати всі ролі організації.

| Файл | Що в ньому | Куди |
| --- | --- | --- |
| fullchain.pem | Ваш сертифікат разом із проміжними | nginx, Apache 2.4.8+, HAProxy, Caddy |
| cert.pem | Лише ваш сертифікат | Якщо ланцюжок задається окремо |
| chain.pem | Лише проміжні сертифікати (CA Bundle) | Якщо ланцюжок задається окремо |
| Архів з інструкцією | Усі три файли та коротка пам’ятка | Коли хочете забрати все разом |
| PFX | Сертифікат, ланцюжок і ваш ключ в одному файлі | IIS і Windows |

Усі файли мають формат PEM, тобто це звичайний текст. Якщо програма просить «ланцюжок» чи «CA Bundle», це `chain.pem`. Дата випуску входить в ім’я файла, тож нові версії не затирають попередні.

## PFX для IIS і Windows

PFX збирається прямо в браузері, ключ нікуди не відправляється.

1. У блоці «PFX для IIS і Windows» оберіть файл свого закритого ключа (`.key` або `.pem`, до 64 КБ).
2. Задайте пароль PFX щонайменше з 8 знаків і повторіть його.
3. Натисніть «Зібрати PFX» і збережіть файл.

Сучасний шифр (AES-256) читають Windows Server 2019+, IIS 10, Java та OpenSSL. Windows Server 2016 і старіші, а також «Зв’язка ключів» macOS його не прочитають. Для них зберіть PFX на своєму комп’ютері:

```
openssl pkcs12 -export -legacy -inkey kava.key -in cert.pem -certfile chain.pem -out kava.pfx
```

## Установка і оновлення

1. Покладіть `fullchain.pem` і свій закритий ключ на сервер.
2. Вкажіть їх у налаштуваннях веб-сервера і перезапустіть його.
3. Перевірте сайт: [https://zrazu.com/tools/ssl/example.com/](https://zrazu.com/tools/ssl/example.com/) покаже, який сертифікат віддає сайт і до якої дати він діє. У картці також видно, чи віддає сайт саме цей сертифікат.

Сертифікат за підпискою оновлюється частинами. Щоб новий файл не копіювати вручну, налаштуйте автоматичне оновлення за своїм хостингом: [Як працює автоматичне оновлення сертифіката](https://zrazu.com/docs/ssl-auto.md). Якщо вам зручніше certbot чи acme.sh, див. [ACME для certbot і acme.sh](https://zrazu.com/docs/ssl-acme.md).

## Якщо не вийшло

- **«Сертифікат ще не випущено».** Файли з’являться після підтвердження домену. Див. [Підтвердження домену](https://zrazu.com/docs/ssl-dcv.md).
- **«Не вдалося отримати файли сертифіката».** Оновіть сторінку.
- **PFX: «Це не закритий ключ у PEM».** Потрібен файл, що починається з `-----BEGIN PRIVATE KEY-----` (або RSA/EC PRIVATE KEY).
- **PFX: ключ під паролем.** Зніміть пароль на своєму комп’ютері: `openssl pkey -in key.pem -out open.key`, потім оберіть новий файл.
- **PFX: «Цей ключ від іншого сертифіката».** Потрібен ключ, з яким робили CSR саме для цього замовлення.
- **Браузер не дає шифрування (WebCrypto).** Відкрийте кабінет у свіжому Chrome, Firefox чи Safari.
- **Сайт віддає старий сертифікат.** Новий файл не підхопився: перезапустіть веб-сервер або перевірте задачу автоматичного оновлення.