Какие имена нужно покрыть
Составьте список: основной домен, www и используемые поддомены. Сертификат должен соответствовать имени, по которому открывается соединение, в том числе до перенаправления.
Обычный сертификат может включать несколько согласованных имён. Wildcard для *.example.ru покрывает соответствующий уровень поддоменов, но не заменяет проверку покрытия самого example.ru или более глубокого имени. Смотрите список имён в конкретном сертификате.
DV, OV и EV: какой уровень проверки нужен
Эти обозначения описывают, что центр сертификации проверяет перед выпуском. Список доменов и поддоменов в сертификате — отдельный вопрос.
| Тип | Что проверяется | Когда рассматривать |
|---|---|---|
| DV — Domain Validation | Управление доменным именем | Нужен HTTPS без включения проверенных сведений об организации |
| OV — Organization Validation | Управление доменом и сведения об организации | Требуется сертификат с подтверждённой организацией; заранее подготовьте данные для проверки |
| EV — Extended Validation | Организация и полномочия заявителя по расширенной процедуре | Такой тип прямо требуется договором или внутренними правилами; сравните процедуру с обычным OV |
OV и EV не делают шифрование автоматически сильнее, чем DV. Они добавляют проверку личности организации, но не удостоверяют качество её товара или надёжность каждой операции на сайте. Не рассчитывайте на особый цвет адресной строки: отображение сведений зависит от браузера.
Для обычного запуска сначала определите нужные имена и возможность автоматического продления. Если сертификат оформляет подрядчик, согласуйте, кто контролирует домен, ключ и дальнейшее обслуживание.
Бесплатный или платный
Для многих сайтов подходит автоматизируемый сертификат с проверкой управления доменом, например через ACME. Платные предложения могут отличаться проверками и обслуживанием. Цена сама по себе не является мерой качества шифрования.
Проверьте, поддерживает ли хостинг выпуск и автоматическое продление, где хранится закрытый ключ и кто отвечает за сбои проверки домена. Let’s Encrypt выпускает DV-сертификаты; OV и EV этот центр не предоставляет.
Wildcard и способ подтверждения домена
Если нужны только example.com и www.example.com, можно включить оба имени в один сертификат. Если добавляются отдельные сервисы на поддоменах, сравните перечисление имён и wildcard *.example.com. Последний не покрывает автоматически сам example.com или адрес shop.eu.example.com.
Для wildcard Let’s Encrypt используется DNS-01: клиент создаёт проверочную TXT-запись _acme-challenge в DNS. Для обычных имён возможен HTTP-01, при котором центр проверяет файл на веб-сервере через порт 80. Способ проверки выбирают по доступу к DNS и размещению сайта.
При ручном изменении TXT новый выпуск может потребовать повторного участия администратора. Для автоматического продления нужен подходящий DNS API или поддержка со стороны хостинга. До выбора wildcard проверьте это у того, кто управляет DNS домена , чтобы сертификат не остался без рабочего механизма продления.
Порядок подключения
- Подтвердите управление доменом способом, который предлагает центр сертификации.
- Установите сертификат и необходимую цепочку на веб-сервер.
- Проверьте HTTPS для всех используемых имён.
- Настройте постоянное перенаправление с HTTP на основной HTTPS-адрес.
- Исправьте ссылки на HTTP-ресурсы внутри страницы.
- Проверьте механизм продления и уведомление об ошибке.
Ручная DNS-проверка при выпуске не означает, что дальнейшее продление автоматизировано. Это нужно проверить отдельно. Настройка адреса описана в руководстве по подключению домена , а остальные проверки запуска — в чек-листе веб-сервера .
Если браузер показывает ошибку
Сравните имя сайта с именами сертификата, проверьте срок, цепочку и настройки нужного виртуального хоста. При переносе сервера убедитесь, что запрос попал на правильную машину. Не предлагайте посетителям обходить предупреждение: исправьте причину и повторите проверку.