SSL: автоматическое обновление
Как работает автоматическое обновление сертификата
Как SSL-сертификат ZRAZU обновляется на сайте сам: личная ссылка, задача по расписанию на вашей стороне и выбор инструкции под свой хостинг.
Сертификат по подписке ZRAZU выпускается частями: каждая часть действует ограниченный срок (сейчас до 200 дней, дальше по правилам отрасли — меньше). Когда приходит время следующей части, мы выпускаем её сами. Чтобы новый сертификат оказался на сайте без вашего участия, его должен забрать ваш сервер, хостинг или облако — по расписанию, раз в сутки.
Что для этого есть
- Личная ссылка на сертификат. В кабинете, в карточке сертификата, раздел «Установка» → «Ссылка для сервера». По ней всегда лежит действующий сертификат подписки:
https://api.zrazu.com/ssl-pull/zsp_ВАШ_ТОКЕН/fullchain.pem(сертификат вместе с промежуточными),https://api.zrazu.com/ssl-pull/zsp_ВАШ_ТОКЕН/cert.pemиhttps://api.zrazu.com/ssl-pull/zsp_ВАШ_ТОКЕН/chain.pemотдельно. - Ваш закрытый ключ остаётся у вас. Следующие части подписки выпускаются на тот же ключ, поэтому ключ вы кладёте один раз, а дальше обновляется только публичный сертификат. Ссылка ключ не отдаёт и не принимает.
- Задача по расписанию на вашей стороне. Скрипт раз в сутки забирает сертификат по ссылке и, если он новый, устанавливает его. Скрипты — в каждой инструкции ниже.
Мы не просим паролей от хостинга, ключей от облака или закрытого ключа сертификата: сертификат устанавливает ваш сервер, а не мы.
Выберите свой случай
| Где работает сайт | Обновляется ли сам | Инструкция |
|---|---|---|
| Свой сервер Linux (nginx, Apache, Caddy, HAProxy, Docker) | да | Сервер Linux |
| Windows Server с IIS | да | Windows и IIS |
| Kubernetes | да | Kubernetes |
| Хостинг с cPanel (Hostiq, Hostpro, Ukrnames, GoDaddy, Namecheap…) | да | cPanel |
| AWS: балансировщик, CloudFront, API Gateway | да | AWS |
| Azure: Application Gateway, App Service, Front Door | да | Azure |
| Google Cloud: балансировщик с Certificate Manager | да | Google Cloud |
| Cloudflare перед сайтом | зависит от тарифа | Cloudflare |
| Хостинг с панелью без API: hosting.ua (adm.tools), Cityhost, Mirohost, ISPmanager, Plesk, DirectAdmin, Hostinger, Hetzner | вручную, мы напомним | Панели хостинга |
| Конструктор сайтов: Tilda, Wix, Shopify, Prom, Horoshop… | наш сертификат там не нужен | Конструкторы |
Не знаете, что у вас? Откройте любую инструкцию и скопируйте промт для ИИ: он спросит о вашем хостинге и поведёт дальше.
Как убедиться, что всё работает
- В карточке сертификата рядом со ссылкой видно, когда ваш сервер в последний раз забирал сертификат и забрал ли он действующий.
- Проверка сайта: https://zrazu.com/tools/ssl/example.com/ показывает, какой сертификат отдаёт сайт и до какой даты он действует.
- После каждой новой части мы отправляем письмо. Если через несколько дней сайт всё ещё отдаёт старый сертификат, значит, задача на сервере не сработала: откройте журнал задачи (в каждой инструкции сказано, где он).
Безопасность ссылки
- Ссылка отдаёт только публичный сертификат — тот же, что сайт показывает каждому посетителю. Но всё же не публикуйте её: у кого есть ссылка, тот видит, когда ваш сервер её забирает.
- Ссылку мы показываем один раз, в базе храним только её отпечаток. Потеряли или засветили — в карточке «Новая ссылка»: старая сразу перестанет работать, в скрипте замените адрес.
- Ссылка действует до конца подписки. Неизвестная, отключённая или просроченная ссылка отвечает одинаково — «не найдено» (404).