Как проверить SSL-сертификат сайта: срок, цепочка, имена

Проверить SSL-сертификат сайта можно тремя способами: щёлкнуть по значку замка в браузере, ввести адрес в онлайн-проверку или выполнить одну команду openssl. Смотреть нужно на четыре вещи: срок действия, для каких доменных имён выдан сертификат, полная ли цепочка до корневого центра и не отзывался ли он.

Способ 1. Браузер: самый быстрый

В Chrome нажмите на значок слева от адреса и выберите «Подключение защищено», затем «Действительный сертификат». В Firefox путь похож: замок, «Безопасное соединение», «Подробнее». В окне будут видны кому выдан сертификат, кем, и даты «действителен с» и «по».

Минус браузера: он показывает только то, что отдал сервер по этому имени, и мог сохранить старый сертификат в кеше. Если вы только что заменили сертификат, откройте сайт в приватном окне.

Способ 2. Онлайн-проверка

Онлайн-проверки запрашивают ваш сервер со стороны и показывают то, что видят остальные посетители. Это полезнее браузера, когда сертификат обновили, а у вас «всё работает». Бесплатно сделать это можно в нашем инструменте проверка SSL-сертификата, а для детального разбора есть Qualys SSL Labs (ssllabs.com/ssltest): он выставляет оценку и показывает версии TLS.

Способ 3. Командная строка

Если есть доступ к терминалу, срок и имена читаются одной командой. Замените example.ru на свой домен:

В ответе будут notBefore и notAfter (период действия), subject и issuer (кому и кем выдан) и список имён в subjectAltName. Параметр -servername обязателен, если на одном IP живёт несколько сайтов: без него сервер может отдать чужой сертификат.

Что проверять в результате

Типичные проблемы и куда смотреть

• Срок истёк. Продлите сертификат и перезагрузите веб-сервер. Порядок разобран в статье истёк SSL-сертификат.
• Продлили, а сайт отдаёт старый. Сервер не перечитал файлы или их читает другой процесс: сертификат обновился, а сайт отдаёт старый.
• Certbot не продлевает. Проверьте цепочку задач и права: Certbot не продлевает сертификат.
• Замок есть, но с предупреждением. На странице остались ресурсы по HTTP: mixed content.
• Ошибка у части посетителей. Чаще всего это неполная цепочка или неверное время на устройстве.

Как часто проверять

Сроки сертификатов сокращаются: об этом мы писали в обзоре сертификатов на 200 и 100 дней и в новости про Let's Encrypt на 64 дня. Чем короче срок, тем важнее автопродление и уведомления. Ручной календарь через год перестанет работать.

1. Включите автопродление и проверьте, что задача действительно запускается.
2. Подключите мониторинг срока сертификата с предупреждением за 14 и за 7 дней.
3. После любого переезда или смены хостинга проверяйте сертификат снаружи, а не только в своём браузере.
4. Раз в квартал смотрите оценку TLS в SSL Labs.

Виды сертификатов и что они значат для проверки

В выдаче проверки вы увидите тип проверки владельца: DV подтверждает только контроль над доменом, OV и EV дополнительно проверяют организацию. Для большинства сайтов хватает DV: шифрование у всех трёх типов одинаковое. Wildcard-сертификат закрывает все поддомены первого уровня (*.example.ru), но не сам корневой домен без отдельного указания, поэтому проверьте оба имени в списке.

Отдельно убедитесь, что сертификат подходит ко всем сервисам домена: почте, панели, личному кабинету. Известный сценарий: сайт открывается нормально, а CRM на поддомене выдаёт ошибку, потому что имя в сертификат не попало. Разбор такой ситуации есть в статье SSL работает на сайте, но не в CRM.

Если нужна автоматическая проверка срока и доступности, подключите мониторинг сайта: он сообщит об истечении заранее.