# Файлы сертификата и установка на сервер

> Какие файлы выдаёт ZRAZU после выпуска: fullchain, cert, chain. Как собрать PFX для IIS и Windows и куда их положить. Закрытый ключ остаётся у вас.

URL: https://zrazu.com/ru/docs/ssl-files/

Когда сертификат выпущен, его файлы доступны в карточке. Закрытого ключа у нас нет, поэтому на сервер ставят два файла: сертификат от нас и ваш ключ, созданный вместе с CSR.

## Какие есть файлы

Откройте карточку сертификата, раздел «Установка» или «Файлы сертификата» ([кабинет](https://vse.zrazu.com/ssl/)). Файлы могут скачивать все роли организации.

| Файл | Что в нём | Куда |
| --- | --- | --- |
| fullchain.pem | Ваш сертификат вместе с промежуточными | nginx, Apache 2.4.8+, HAProxy, Caddy |
| cert.pem | Только ваш сертификат | Если цепочка задаётся отдельно |
| chain.pem | Только промежуточные сертификаты (CA Bundle) | Если цепочка задаётся отдельно |
| Архив с инструкцией | Все три файла и короткая памятка | Когда хотите забрать всё вместе |
| PFX | Сертификат, цепочка и ваш ключ в одном файле | IIS и Windows |

Все файлы в формате PEM, то есть обычный текст. Если программа просит «цепочку» или «CA Bundle», это `chain.pem`. Дата выпуска входит в имя файла, поэтому новые версии не затирают прежние.

## PFX для IIS и Windows

PFX собирается прямо в браузере, ключ никуда не отправляется.

1. В блоке «PFX для IIS и Windows» выберите файл своего закрытого ключа (`.key` или `.pem`, до 64 КБ).
2. Задайте пароль PFX минимум из 8 знаков и повторите его.
3. Нажмите «Собрать PFX» и сохраните файл.

Современный шифр (AES-256) читают Windows Server 2019+, IIS 10, Java и OpenSSL. Windows Server 2016 и старше, а также «Связка ключей» macOS его не прочитают. Для них соберите PFX на своём компьютере:

```
openssl pkcs12 -export -legacy -inkey kava.key -in cert.pem -certfile chain.pem -out kava.pfx
```

## Установка и обновление

1. Положите `fullchain.pem` и свой закрытый ключ на сервер.
2. Укажите их в настройках веб-сервера и перезапустите его.
3. Проверьте сайт: [https://zrazu.com/tools/ssl/example.com/](https://zrazu.com/tools/ssl/example.com/) покажет, какой сертификат отдаёт сайт и до какой даты он действует. В карточке также видно, отдаёт ли сайт именно этот сертификат.

Сертификат по подписке обновляется частями. Чтобы не копировать новый файл вручную, настройте автоматическое обновление под свой хостинг: [Как работает автоматическое обновление сертификата](https://zrazu.com/ru/docs/ssl-auto.md). Если вам удобнее certbot или acme.sh, см. [ACME для certbot и acme.sh](https://zrazu.com/ru/docs/ssl-acme.md).

## Если не получилось

- **«Сертификат ещё не выпущен».** Файлы появятся после подтверждения домена. См. [Подтверждение домена](https://zrazu.com/ru/docs/ssl-dcv.md).
- **«Не удалось получить файлы сертификата».** Обновите страницу.
- **PFX: «Это не закрытый ключ в PEM».** Нужен файл, который начинается с `-----BEGIN PRIVATE KEY-----` (или RSA/EC PRIVATE KEY).
- **PFX: ключ под паролем.** Снимите пароль на своём компьютере: `openssl pkey -in key.pem -out open.key`, затем выберите новый файл.
- **PFX: «Этот ключ от другого сертификата».** Нужен ключ, с которым делали CSR именно для этого заказа.
- **Браузер не даёт шифрование (WebCrypto).** Откройте кабинет в свежем Chrome, Firefox или Safari.
- **Сайт отдаёт старый сертификат.** Новый файл не подхватился: перезапустите веб-сервер или проверьте задачу автоматического обновления.