ISPmanager 6 имеет встроенную интеграцию с Let's Encrypt. Сертификат выдаётся бесплатно, автоматически продлевается за 30 дней до истечения.
Получить Let's Encrypt SSL
WWW → Домены → выберите домен → Защита → Let's Encrypt → Получить.
Параметры:
- Домен: example.com
- Включить www: ✅ (если нужен сертификат для www.example.com)
- Автопродление: ✅ (рекомендуется)
Как проходит валидация домена
Let's Encrypt проверяет, что вы действительно управляете доменом, прежде чем выдать сертификат. ISPmanager использует HTTP-01 challenge: панель кладёт временный файл в директорию сайта, а сервер Let's Encrypt обращается к нему по адресу http://example.com/.well-known/acme-challenge/. Если запрос проходит и содержимое файла совпадает — домен подтверждён.
Установить коммерческий сертификат
WWW → Домены → выберите домен → Защита → SSL-сертификат → Загрузить.
Поля для заполнения:
1. Приватный ключ (*.key)
2. Сертификат (*.crt)
3. Цепочка сертификатов / CA bundle (*.ca-bundle или chain.crt)Настройка редиректа HTTP → HTTPS
WWW → Домены → выберите домен → Изменить → поставить галочку «Перенаправлять HTTP на HTTPS». ISPmanager добавит нужный редирект в конфиг Nginx/Apache автоматически.
Разбор типичных ошибок выпуска сертификата
| Сообщение | Что означает и как исправить |
|---|---|
DNS problem: NXDOMAIN looking up A record | У домена нет A-записи, указывающей на IP сервера, — Let's Encrypt не может найти сервер для проверки |
Connection refused / Fetching http://…: Connection timed out | Порт 80 закрыт файрволлом или занят другим сервисом — challenge-файл недоступен снаружи |
too many certificates already issued for this exact set of domains | Превышен лимит Let's Encrypt — 5 одинаковых сертификатов на домен за 7 дней (rate limit) |
Invalid response from …: 404 | Файл challenge создан, но веб-сервер отдаёт по этому пути 404 — часто из-за правила редиректа, перехватывающего путь /.well-known/ |
Проверка сертификата
openssl s_client -connect example.com:443 -servername example.com | openssl x509 -noout -dates
# notBefore: дата начала
# notAfter: дата истеченияАвтопродление: что происходит на сервере
За автопродление Let's Encrypt в ISPmanager отвечает задание планировщика, которое периодически проверяет срок действия каждого сертификата и переоформляет его, если до истечения осталось меньше 30 дней. Если задание отключено или сломано (например, после ручного редактирования crontab), сертификаты продолжат тихо стареть до полного истечения — панель не всегда показывает это как активную ошибку до последнего момента.
Список сертификатов
WWW → SSL-сертификаты — список всех выданных сертификатов с датами истечения и статусом автопродления.
Let's Encrypt и коммерческий сертификат: сравнение
| Критерий | Let's Encrypt | Коммерческий (OV/EV) |
|---|---|---|
| Стоимость | Бесплатно | От нескольких десятков $ в год |
| Срок действия | 90 дней, автопродление | 1–2 года |
| Проверка организации | Нет (только домен, DV) | Есть (OV/EV требуют документы) |
| Wildcard-сертификат | Да, через DNS-01 | Да |
| Уровень доверия для платёжных систем | Достаточен для большинства | Иногда требуется explicitly (банки, эквайринг) |
Когда Let's Encrypt не подходит
- Требуется юридически подтверждённая проверка организации (OV/EV) — например, для платёжного шлюза, который явно требует EV-сертификат
- Нужен сертификат сроком на несколько лет без автоматизации продления — на изолированных системах без доступа к ACME-клиенту это удобнее
- Домен не резолвится публично (внутренний DNS, VPN-only сервис) — HTTP-01 валидация Let's Encrypt требует доступности домена из интернета
- Регуляторные требования явно называют конкретный удостоверяющий центр или формат сертификата — например, для государственных информационных систем в некоторых юрисдикциях
Проверка результата
После выпуска или обновления сертификата убедитесь, что браузер и внешние клиенты видят именно новый сертификат, а не закешированную старую версию.
# Проверить, что сертификат применился именно к нужному домену
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -subject -issuerЕсли в выводе указан издатель не «Let's Encrypt», а старый CA — конфигурация веб-сервера всё ещё ссылается на прежний файл сертификата, и нужно проверить путь в конфиге Nginx/Apache. См. также создание сайта в ISPmanager 6 и выбор между Nginx и Apache.
Частые вопросы
Что произойдёт с сайтом, если автопродление не сработает и сертификат истечёт незаметно?
Если сертификат истёк, браузеры посетителей показывают предупреждение о недоверенном соединении и обычно блокируют переход на сайт без явного подтверждения пользователя. Поисковые системы и некоторые внешние сервисы тоже могут перестать обращаться к сайту по HTTPS. Поэтому стоит периодически проверять список сертификатов в панели, а не полагаться только на автоматику.
Можно ли держать одновременно Let's Encrypt и коммерческий сертификат для одного домена, например при переходе?
Технически оба сертификата могут храниться в системе одновременно, но активным для домена в конкретный момент времени может быть только один — именно он применяется к конфигурации веб-сервера. На переходный период обычно оставляют активным старый коммерческий сертификат, тестируют новый от Let's Encrypt отдельно, а затем переключают домен одним действием.
Нужно ли перевыпускать сертификат при смене веб-сервера с Apache на Nginx?
Прямой зависимости нет: сам сертификат — это файл с ключом, который одинаково подходит обоим веб-серверам. Но после смены Apache на Nginx (или обратно) конфигурация, в которую этот сертификат встроен, меняется полностью, поэтому ISPmanager заново привязывает существующий сертификат к новой конфигурации автоматически, без повторного обращения к Let's Encrypt.
Нужно ли вручную переустанавливать сертификат после переноса сайта на новый IP-адрес или новый хостинг?
Нет, если домен и панель переносятся вместе с сертификатом, переустанавливать его вручную не требуется — он продолжает действовать до истечения срока независимо от IP-адреса сервера. Но на новом сервере нужно заново настроить автопродление и убедиться, что порт 80 доступен снаружи для прохождения проверки HTTP-01 Let's Encrypt.