SSL-сертификаты
Файлы сертификата и установка на сервер
Какие файлы выдаёт ZRAZU после выпуска: fullchain, cert, chain. Как собрать PFX для IIS и Windows и куда их положить. Закрытый ключ остаётся у вас.
Когда сертификат выпущен, его файлы доступны в карточке. Закрытого ключа у нас нет, поэтому на сервер ставят два файла: сертификат от нас и ваш ключ, созданный вместе с CSR.
Какие есть файлы
Откройте карточку сертификата, раздел «Установка» или «Файлы сертификата» (кабинет). Файлы могут скачивать все роли организации.
| Файл | Что в нём | Куда |
|---|---|---|
| fullchain.pem | Ваш сертификат вместе с промежуточными | nginx, Apache 2.4.8+, HAProxy, Caddy |
| cert.pem | Только ваш сертификат | Если цепочка задаётся отдельно |
| chain.pem | Только промежуточные сертификаты (CA Bundle) | Если цепочка задаётся отдельно |
| Архив с инструкцией | Все три файла и короткая памятка | Когда хотите забрать всё вместе |
| PFX | Сертификат, цепочка и ваш ключ в одном файле | IIS и Windows |
Все файлы в формате PEM, то есть обычный текст. Если программа просит «цепочку» или «CA Bundle», это chain.pem. Дата выпуска входит в имя файла, поэтому новые версии не затирают прежние.
PFX для IIS и Windows
PFX собирается прямо в браузере, ключ никуда не отправляется.
- В блоке «PFX для IIS и Windows» выберите файл своего закрытого ключа (
.keyили.pem, до 64 КБ). - Задайте пароль PFX минимум из 8 знаков и повторите его.
- Нажмите «Собрать PFX» и сохраните файл.
Современный шифр (AES-256) читают Windows Server 2019+, IIS 10, Java и OpenSSL. Windows Server 2016 и старше, а также «Связка ключей» macOS его не прочитают. Для них соберите PFX на своём компьютере:
openssl pkcs12 -export -legacy -inkey kava.key -in cert.pem -certfile chain.pem -out kava.pfxУстановка и обновление
- Положите
fullchain.pemи свой закрытый ключ на сервер. - Укажите их в настройках веб-сервера и перезапустите его.
- Проверьте сайт: https://zrazu.com/tools/ssl/example.com/ покажет, какой сертификат отдаёт сайт и до какой даты он действует. В карточке также видно, отдаёт ли сайт именно этот сертификат.
Сертификат по подписке обновляется частями. Чтобы не копировать новый файл вручную, настройте автоматическое обновление под свой хостинг: Как работает автоматическое обновление сертификата. Если вам удобнее certbot или acme.sh, см. ACME для certbot и acme.sh.
Если не получилось
- «Сертификат ещё не выпущен». Файлы появятся после подтверждения домена. См. Подтверждение домена.
- «Не удалось получить файлы сертификата». Обновите страницу.
- PFX: «Это не закрытый ключ в PEM». Нужен файл, который начинается с
-----BEGIN PRIVATE KEY-----(или RSA/EC PRIVATE KEY). - PFX: ключ под паролем. Снимите пароль на своём компьютере:
openssl pkey -in key.pem -out open.key, затем выберите новый файл. - PFX: «Этот ключ от другого сертификата». Нужен ключ, с которым делали CSR именно для этого заказа.
- Браузер не даёт шифрование (WebCrypto). Откройте кабинет в свежем Chrome, Firefox или Safari.
- Сайт отдаёт старый сертификат. Новый файл не подхватился: перезапустите веб-сервер или проверьте задачу автоматического обновления.