# Как работает автоматическое обновление сертификата

> Как SSL-сертификат ZRAZU обновляется на сайте сам: личная ссылка, задача по расписанию на вашей стороне и выбор инструкции под свой хостинг.

URL: https://zrazu.com/ru/docs/ssl-auto/

Сертификат по подписке ZRAZU выпускается частями: каждая часть действует ограниченный срок (сейчас до 200 дней, дальше по правилам отрасли — меньше). Когда приходит время следующей части, мы выпускаем её сами. Чтобы новый сертификат оказался на сайте без вашего участия, его должен забрать ваш сервер, хостинг или облако — по расписанию, раз в сутки.

## Что для этого есть

- **Личная ссылка на сертификат.** В кабинете, в карточке сертификата, раздел «Установка» → «Ссылка для сервера». По ней всегда лежит действующий сертификат подписки: `https://api.zrazu.com/ssl-pull/zsp_ВАШ_ТОКЕН/fullchain.pem` (сертификат вместе с промежуточными), `https://api.zrazu.com/ssl-pull/zsp_ВАШ_ТОКЕН/cert.pem` и `https://api.zrazu.com/ssl-pull/zsp_ВАШ_ТОКЕН/chain.pem` отдельно.
- **Ваш закрытый ключ остаётся у вас.** Следующие части подписки выпускаются на тот же ключ, поэтому ключ вы кладёте один раз, а дальше обновляется только публичный сертификат. Ссылка ключ не отдаёт и не принимает.
- **Задача по расписанию на вашей стороне.** Скрипт раз в сутки забирает сертификат по ссылке и, если он новый, устанавливает его. Скрипты — в каждой инструкции ниже.

Мы не просим паролей от хостинга, ключей от облака или закрытого ключа сертификата: сертификат устанавливает ваш сервер, а не мы.

## Выберите свой случай

| Где работает сайт | Обновляется ли сам | Инструкция |
| --- | --- | --- |
| Свой сервер Linux (nginx, Apache, Caddy, HAProxy, Docker) | да | [Сервер Linux](https://zrazu.com/ru/docs/ssl-auto-linux.md) |
| Windows Server с IIS | да | [Windows и IIS](https://zrazu.com/ru/docs/ssl-auto-windows-iis.md) |
| Kubernetes | да | [Kubernetes](https://zrazu.com/ru/docs/ssl-auto-kubernetes.md) |
| Хостинг с cPanel (Hostiq, Hostpro, Ukrnames, GoDaddy, Namecheap…) | да | [cPanel](https://zrazu.com/ru/docs/ssl-auto-cpanel.md) |
| AWS: балансировщик, CloudFront, API Gateway | да | [AWS](https://zrazu.com/ru/docs/ssl-auto-aws.md) |
| Azure: Application Gateway, App Service, Front Door | да | [Azure](https://zrazu.com/ru/docs/ssl-auto-azure.md) |
| Google Cloud: балансировщик с Certificate Manager | да | [Google Cloud](https://zrazu.com/ru/docs/ssl-auto-gcp.md) |
| Cloudflare перед сайтом | зависит от тарифа | [Cloudflare](https://zrazu.com/ru/docs/ssl-auto-cloudflare.md) |
| Хостинг с панелью без API: hosting.ua (adm.tools), Cityhost, Mirohost, ISPmanager, Plesk, DirectAdmin, Hostinger, Hetzner | вручную, мы напомним | [Панели хостинга](https://zrazu.com/ru/docs/ssl-auto-panels-manual.md) |
| Конструктор сайтов: Tilda, Wix, Shopify, Prom, Horoshop… | наш сертификат там не нужен | [Конструкторы](https://zrazu.com/ru/docs/ssl-auto-site-builders.md) |

Не знаете, что у вас? Откройте любую инструкцию и скопируйте промт для ИИ: он спросит о вашем хостинге и поведёт дальше.

## Как убедиться, что всё работает

- В карточке сертификата рядом со ссылкой видно, когда ваш сервер в последний раз забирал сертификат и забрал ли он действующий.
- Проверка сайта: [https://zrazu.com/tools/ssl/example.com/](https://zrazu.com/tools/ssl/example.com/) показывает, какой сертификат отдаёт сайт и до какой даты он действует.
- После каждой новой части мы отправляем письмо. Если через несколько дней сайт всё ещё отдаёт старый сертификат, значит, задача на сервере не сработала: откройте журнал задачи (в каждой инструкции сказано, где он).

## Безопасность ссылки

- Ссылка отдаёт только публичный сертификат — тот же, что сайт показывает каждому посетителю. Но всё же не публикуйте её: у кого есть ссылка, тот видит, когда ваш сервер её забирает.
- Ссылку мы показываем один раз, в базе храним только её отпечаток. Потеряли или засветили — в карточке «Новая ссылка»: старая сразу перестанет работать, в скрипте замените адрес.
- Ссылка действует до конца подписки. Неизвестная, отключённая или просроченная ссылка отвечает одинаково — «не найдено» (404).