ISPmanager 6 має вбудовану інтеграцію з Let's Encrypt. Сертифікат видається безкоштовно, автоматично продовжується за 30 днів до закінчення.
Отримати SSL від Let's Encrypt
WWW → Домени → виберіть домен → Захист → Let's Encrypt → Отримати.
Параметри:
- Домен: example.com
- Включити www: ✅ (якщо потрібен сертифікат для www.example.com)
- Автопродовження: ✅ (рекомендується)
Як проходить валідація домену
Let's Encrypt перевіряє, що ви дійсно керуєте доменом, перш ніж видати сертифікат. ISPmanager використовує HTTP-01 challenge: панель кладе тимчасовий файл у директорію сайту, а сервер Let's Encrypt звертається до нього за адресою http://example.com/.well-known/acme-challenge/. Якщо запит проходить і вміст файлу збігається — домен підтверджено.
Встановити комерційний сертифікат
WWW → Домени → виберіть домен → Захист → SSL-сертифікат → Завантажити.
Поля для заповнення:
1. Приватний ключ (*.key)
2. Сертифікат (*.crt)
3. Ланцюжок сертифікатів / CA bundle (*.ca-bundle або chain.crt)Налаштування редиректу HTTP → HTTPS
WWW → Домени → виберіть домен → Змінити → поставити галочку «Перенаправляти HTTP на HTTPS». ISPmanager додасть потрібний редирект у конфіг Nginx/Apache автоматично.
Розбір типових помилок випуску сертифіката
| Повідомлення | Що означає і як виправити |
|---|---|
DNS problem: NXDOMAIN looking up A record | У домену немає A-запису, що вказує на IP сервера, — Let's Encrypt не може знайти сервер для перевірки |
Connection refused / Fetching http://…: Connection timed out | Порт 80 закритий файрволом або зайнятий іншим сервісом — challenge-файл недоступний зовні |
too many certificates already issued for this exact set of domains | Перевищено ліміт Let's Encrypt — 5 однакових сертифікатів на домен за 7 днів (rate limit) |
Invalid response from …: 404 | Файл challenge створено, але вебсервер віддає за цим шляхом 404 — часто через правило редиректу, що перехоплює шлях /.well-known/ |
Перевірка сертифіката
openssl s_client -connect example.com:443 -servername example.com | openssl x509 -noout -dates
# notBefore: дата початку
# notAfter: дата закінченняАвтопродовження: що відбувається на сервері
За автопродовження Let's Encrypt в ISPmanager відповідає завдання планувальника, яке періодично перевіряє термін дії кожного сертифіката і переоформлює його, якщо до закінчення залишилося менше 30 днів. Якщо завдання вимкнено або зламано (наприклад, після ручного редагування crontab), сертифікати продовжать тихо старіти аж до повного закінчення — панель не завжди показує це як активну помилку до останнього моменту.
Список сертифікатів
WWW → SSL-сертифікати — список усіх виданих сертифікатів з датами закінчення та статусом автопродовження.
Let's Encrypt і комерційний сертифікат: порівняння
| Критерій | Let's Encrypt | Комерційний (OV/EV) |
|---|---|---|
| Вартість | Безкоштовно | Від кількох десятків $ на рік |
| Термін дії | 90 днів, автопродовження | 1–2 роки |
| Перевірка організації | Немає (лише домен, DV) | Є (OV/EV вимагають документи) |
| Wildcard-сертифікат | Так, через DNS-01 | Так |
| Рівень довіри для платіжних систем | Достатній для більшості | Іноді вимагається explicitly (банки, еквайринг) |
Коли Let's Encrypt не підходить
- Потрібна юридично підтверджена перевірка організації (OV/EV) — наприклад, для платіжного шлюзу, що явно вимагає EV-сертифікат
- Потрібен сертифікат на кілька років без автоматизації продовження — на ізольованих системах без доступу до ACME-клієнта це зручніше
- Домен не резолвиться публічно (внутрішній DNS, VPN-only сервіс) — HTTP-01 валідація Let's Encrypt вимагає доступності домену з інтернету
- Регуляторні вимоги явно називають конкретний засвідчувальний центр або формат сертифіката — наприклад, для державних інформаційних систем у деяких юрисдикціях
Перевірка результату
Після випуску або оновлення сертифіката переконайтеся, що браузер і зовнішні клієнти бачать саме новий сертифікат, а не закешовану стару версію.
# Перевірити, що сертифікат застосувався саме до потрібного домену
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -subject -issuerЯкщо у виводі вказано видавця не «Let's Encrypt», а старий CA — конфігурація вебсервера посилається на попередній файл сертифіката, і потрібно перевірити шлях у конфізі Nginx/Apache. Див. також створення сайту в ISPmanager 6 та вибір між Nginx і Apache.
Часті питання
Що станеться з сайтом, якщо автопродовження не спрацює і сертифікат спливе непомітно?
Якщо сертифікат спливає, браузери відвідувачів показують попередження про недовірене з'єднання і зазвичай блокують перехід на сайт без явного підтвердження користувача. Пошукові системи та деякі зовнішні сервіси також можуть перестати звертатися до сайту по HTTPS. Тому варто періодично перевіряти список сертифікатів у панелі, а не покладатися лише на автоматику.
Чи можна тримати одночасно Let's Encrypt і комерційний сертифікат для одного домену, наприклад під час переходу?
Технічно обидва сертифікати можуть зберігатися в системі одночасно, але активним для домену в конкретний момент часу може бути лише один — саме він застосовується до конфігурації веб-сервера. На перехідний період зазвичай лишають активним старий комерційний сертифікат, тестують новий від Let's Encrypt окремо, а потім перемикають домен одною дією.
Чи потрібно перевипускати сертифікат при зміні веб-сервера з Apache на Nginx?
Прямої залежності немає: сам сертифікат — це файл з ключем, який однаково підходить обом веб-серверам. Але після зміни Apache на Nginx (або навпаки) конфігурація, в яку цей сертифікат вбудований, змінюється повністю, тому ISPmanager заново прив'язує наявний сертифікат до нової конфігурації автоматично, без повторного звернення до Let's Encrypt.
Чи потрібно вручну перевстановлювати сертифікат після перенесення сайту на нову IP-адресу або новий хостинг?
Ні, якщо домен і панель переносяться разом із сертифікатом, перевстановлювати його вручну не потрібно — він продовжує діяти до завершення терміну незалежно від IP-адреси сервера. Але на новому сервері потрібно заново налаштувати автопродовження і переконатися, що порт 80 доступний ззовні для проходження перевірки HTTP-01 Let's Encrypt.