Как проверить SSL-сертификат: срок, цепочка, домен

Сертификат ломает сайт молча: браузер показывает предупреждение, трафик падает, а в логах всё чисто.

Быстрая проверка из терминала: openssl s_client -connect site.ru:443 -servername site.ru | openssl x509 -noout -dates -subject. Команда покажет срок действия и домен, на который выдан сертификат. Если даты в прошлом — сертификат истёк, и это видно любому пользователю.

• Срок действия — самый частый источник проблем
• Цепочка: сертификат промежуточного УЦ должен отдаваться сервером
• Совпадение домена: www и без www — разные имена
• Протокол и шифры: старые TLS отключены современными браузерами
• Редирект с http на https — без него часть трафика идёт открыто

Классическая ошибка — забыть про www или поддомены: сертификат на example.ru не покрывает www.example.ru. Второй случай — истёк не сам сертификат, а корневой в цепочке; тогда браузеры части пользователей показывают предупреждение. Поэтому недостаточно один раз проверить руками: нужен автоконтроль с напоминанием за 14, 7 и 3 дня.

Частые вопросы