Усі SSL-сертифікати шифрують трафік однаково — різниця лише в тому, наскільки ретельно засвідчувальний центр (CA) перевірив власника сайту. Розуміння цих відмінностей допомагає обрати потрібний сертифікат.
Порівняння типів SSL
| Параметр | DV | OV | EV |
|---|---|---|---|
| Розшифрування | Domain Validated | Organization Validated | Extended Validation |
| Що перевіряється | Тільки домен | Домен + компанія | Повна перевірка юрособи |
| Термін видачі | Хвилини | 1–3 дні | 1–2 тижні |
| Вартість/рік | Безкоштовно–$10 | $50–$300 | $200–$1500 |
| Відображення | 🔒 | 🔒 + інформація про компанію | 🔒 + назва компанії |
| Для кого | Блоги, сервіси | Корпоративні сайти | Банки, платіжні системи |
Domain Validated (DV)
Найпоширеніший тип. CA перевіряє лише те, що ви контролюєте домен — через DNS-запис, файл на сервері або email. Let's Encrypt видає DV-сертифікати безкоштовно.
Organization Validated (OV)
CA перевіряє, що організація реально існує: запитує реєстраційні документи, перевіряє телефонний номер через незалежні бази. У сертифікаті закріплено юридичну назву компанії.
Extended Validation (EV)
Найсуворіша перевірка: окрім документів CA може запросити нотаріально завірені папери. Раніше браузери показували зелений рядок адреси з назвою компанії. Сучасні браузери прибрали це відображення, тому практична цінність EV знизилася.
Wildcard і Multi-Domain сертифікати
Це не окремі типи валідації, а розширення, які застосовуються до DV та OV:
- Wildcard (
*.example.com) — покриває всі піддомени одного рівня - SAN/Multi-Domain — один сертифікат для кількох доменів (
example.com,example.net)
Що обрати для хостингу ZevsHost
На всіх наших тарифах доступні безкоштовні Let's Encrypt DV-сертифікати з автопродовженням. Для корпоративних сайтів з OV/EV — встановлення вашого сертифіката через cPanel → SSL/TLS.
Часті помилки під час випуску та встановлення сертифіката
Domain validation failed: DNS record not found
NET::ERR_CERT_AUTHORITY_INVALID
SSL certificate problem: unable to get local issuer certificate
Certificate name mismatch| Повідомлення | Причина | Рішення |
|---|---|---|
| Domain validation failed: DNS record not found | CA не знайшов TXT- чи CNAME-запис, що підтверджує володіння доменом, — запис не додано або ще не поширився по DNS | Перевірити запис через dig TXT _acme-challenge.example.com, зачекати поширення DNS перед повтором |
| NET::ERR_CERT_AUTHORITY_INVALID | Браузер не довіряє CA, що випустив сертифікат, — часто це самопідписаний сертифікат замість DV/OV/EV від публічного CA | Встановити сертифікат від довіреного CA (наприклад, Let's Encrypt), а не самопідписаний |
| SSL certificate problem: unable to get local issuer certificate | На сервері не встановлено проміжний (intermediate) ланцюжок сертифікатів, лише кінцевий сертифікат | Встановити full chain — сертифікат разом із проміжним CA, а не окремо |
| Certificate name mismatch | Сертифікат виписано на інше ім'я домену (наприклад, без www, коли сайт відкривають із www) | Перевипустити сертифікат із потрібними SAN-іменами або включити обидва варіанти домену в запит |
Вартість і швидкість: DV, OV, EV на практиці
| Параметр | DV | OV | EV |
|---|---|---|---|
| Автоматизація випуску через ACME | Повна — Let's Encrypt, ZeroSSL | Немає, лише вручну через CA | Немає, лише вручну через CA |
| Чи потрібні документи компанії | Ні | Так, виписка з реєстру, телефон компанії | Так, плюс нотаріальні документи |
| Підходить для Wildcard | Так, включно з безкоштовними CA | Так, але дорожче й довше | Зазвичай не пропонується для wildcard |
Коли DV не підходить і потрібен OV чи EV
- Регуляторні вимоги галузі (фінансові організації, платіжні системи) явно вимагають OV чи EV у договорі з партнером або процесинговим центром
- Клієнти чи партнери перевіряють юридичну назву компанії в самому сертифікаті перед інтеграцією через API — DV цього поля не містить
- Внутрішня політика безпеки компанії вимагає ручної перевірки особи перед видачею сертифіката, а не лише контролю над DNS-записом
- Потрібен статичний «друкований» сертифікат на роки вперед без автопродовження — DV-сертифікати Let's Encrypt видаються максимум на 90 днів і розраховані на автоматизацію
Як перевірити встановлений сертифікат
# Термін дії та видавець прямо з сервера
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com </dev/null 2>/dev/null | openssl x509 -noout -dates -issuer
# Повний ланцюжок сертифікатів, який віддає сервер
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -showcerts </dev/null- Перевірте термін дії (
notAfter) — для DV Let's Encrypt він не має перевищувати 90 днів від дати випуску - Переконайтеся, що видавець (
issuer) — публічний довірений CA, а не «self-signed» і не внутрішній CA компанії - Перевірте, що сервер віддає повний ланцюжок, а не лише кінцевий сертифікат — інакше частина браузерів і всі curl/wget без прапорів покажуть помилку довіри
- Відкрийте сайт у браузері і переконайтеся, що немає попередження про змішаний контент (Mixed Content) — воно означає, що частина ресурсів сторінки все ще завантажується по HTTP
Автоматичне продовження Let's Encrypt та обробку wildcard-доменів розглядає стаття Let's Encrypt wildcard з автопродовженням, а вимогу CAA-запису для випуску сертифіката конкретним CA — матеріал CAA-запис для SSL.