Новые правила SSL-сертификатов: срок действия, подписка и перевыпуск Печать

Коротко о главном

С 15 марта 2026 года любой публичный SSL-сертификат выдается максимум на 200 дней. На практике центры сертификации выдают его на 199 дней, а раньше сертификат мог жить до 398 дней.

• Вы по-прежнему оплачиваете сертификат на год (или на несколько лет). Меняется только то, что внутри этого срока сертификат нужно перевыпускать, примерно раз в полгода.
• Перевыпуск в пределах оплаченного срока бесплатный.
• Сертификаты, выпущенные до 15 марта 2026 года, действуют до своей даты окончания, их никто не обрезает.
• Дальше будет короче: 100 дней с марта 2027 года и 47 дней с марта 2029 года. Поэтому уже сейчас стоит подумать об автоматической установке.

Что изменилось и почему

В апреле 2025 года CA/Browser Forum (объединение центров сертификации и разработчиков браузеров) принял решение SC-081v3. За него проголосовали все крупные браузеры: Google, Apple, Microsoft и Mozilla. Решение поэтапно сокращает срок жизни публичных SSL-сертификатов.

Крупные центры сертификации (Sectigo, DigiCert, GlobalSign) перешли на новые правила чуть раньше срока и выдают сертификаты на 199 дней, оставляя день запаса.

Зачем это нужно: чем короче живет сертификат, тем меньше времени у злоумышленника, если ключ украден или сертификат выдан по ошибке. Кроме того, данные о владельце домена проверяются чаще и остаются актуальными.

Подписка и сертификат - это теперь разные вещи

Вы платите за подписку, а сертификат - это файл, который выпускается в рамках этой подписки. Раньше их сроки совпадали, теперь нет.

• Подписка - это оплаченный период, например 1 год. Цена и срок оплаты не изменились.
• Сертификат - это конкретный файл, который вы устанавливаете на сервер. Он живет не больше 199 дней.

Пример. Вы заказали Comodo PositiveSSL на 1 год 1 апреля 2026 года:

1. Первый сертификат выпускается сразу и действует примерно до середины октября 2026 года.
2. До его окончания вы бесплатно перевыпускаете сертификат. Новый действует до конца оплаченного года.
3. Через год вы продлеваете подписку, и цикл повторяется.

Поэтому, если в браузере вы видите, что сертификат заканчивается через полгода, это не ошибка и не значит, что подписка короче. Это новая норма.

Если подписка оплачена на несколько лет, перевыпусков будет больше: около двух в год, а с марта 2027 года около четырех.

Как перевыпустить сертификат

Перевыпуск проходит почти так же, как первый выпуск, который подробно со скриншотами описан в статье Создание и установка платного SSL-сертификата. Для DV-сертификата это 10-15 минут. Начинайте за 2-4 недели до окончания текущего сертификата, чтобы был запас на случай проблем с проверкой домена.

1. Сгенерируйте новый CSR и закрытый ключ, например в CSR-генераторе GoGetSSL, как при первом заказе. Сохраните ключ, он понадобится при установке.
2. В личном кабинете откройте услугу SSL-сертификата и запустите перевыпуск (Reissue). Вставьте новый CSR целиком, вместе со строками "-----BEGIN CERTIFICATE REQUEST-----" и "-----END CERTIFICATE REQUEST-----".
3. Выберите проверку через DNS. Центр сертификации выдаст CNAME-запись. Даже если запись от прошлого выпуска еще есть в зоне, сверьте значения: при перевыпуске они могут быть новыми.
4. Добавьте CNAME-запись:
   • если сайт на виртуальном или выделенном сервере, в разделе "DNS MANAGER" личного кабинета;
   • если сайт на веб-хостинге, в Plesk в разделе "Hosting & DNS" → "DNS".
5. Вернитесь на страницу услуги и нажмите "Revalidate". Когда проверка пройдет, обновите страницу и заберите сертификат (CRT) и цепочку (Intermediate/Chain).
6. Установите новый сертификат. В Plesk: "SSL/TLS Certificates" → "Manage" → "Add SSL/TLS Certificate", вставьте ключ, сертификат и цепочку, затем назначьте сертификат сайту в "Hosting & DNS" → "Hosting".
7. Проверьте сайт в SSL Checker: дата окончания должна быть новой, а цепочка полной.

Старый сертификат продолжает работать до своей даты, поэтому сайт во время перевыпуска не отключается.

Бесплатные сертификаты Let's Encrypt

Сертификатов Let's Encrypt новые правила пока не коснулись: они и так живут 90 дней и продлеваются автоматически. Let's Encrypt тоже планирует сокращать срок, но для пользователя это ничего не меняет, пока работает автопродление.

• В ISPmanager, Plesk и HestiaCP Let's Encrypt подключается в пару кликов, панель сама продлевает сертификат.
• На сервере без панели используйте certbot или acme.sh. Они ставят задачу на продление и перезапускают веб-сервер.
• Раз в несколько месяцев проверяйте, что продление действительно проходит. Частая причина сбоя - домен перенесли на другой IP или закрыли порт 80.

Для большинства сайтов бесплатного сертификата достаточно. Платный нужен, если важен бренд центра сертификации, нужна гарантия (страховка) от центра сертификации или EV-проверка компании.

Частые вопросы

Можно ли по-прежнему купить сертификат на год или на несколько лет?
Да. Срок подписки не изменился, просто внутри него сертификат перевыпускается.

Нужно ли платить за перевыпуск?
Нет, перевыпуск в пределах оплаченного срока бесплатный.

Мой сертификат выпущен в январе 2026 года на год. Он перестанет работать?
Нет. Сертификаты, выпущенные до 15 марта 2026 года, действуют до своей даты окончания.

Что будет, если я забуду перевыпустить?
Когда сертификат истечет, браузеры покажут посетителям предупреждение о небезопасном соединении. Подписка при этом остается активной, перевыпуск можно сделать сразу, и сайт снова заработает нормально.

Изменилась ли цена?
Нет, цены на SSL-сертификаты в FairyHosting остались прежними.

Можно ли поручить перевыпуск и установку поддержке?
Да, напишите нам, и мы поможем с CSR, проверкой домена и установкой.