Как ротировать SSL-сертификат без даунтайма

1. За 30 дней до истечения: настройте auto-renew или manual rollout calendar
2. Let's Encrypt: certbot renew --dry-run — проверка renew-логики без write
3. Выпустите новый cert: certbot renew или скачайте с commercial CA
4. Замените fullchain.pem + privkey.pem в nginx config path
5. Hot-reload (без остановки): nginx -t && nginx -s reload (или systemctl reload nginx)
6. Проверьте через Enterno SSL-чекер что новый cert live
7. Monitor next 24h — проверьте, что нет 525/526 ошибок Cloudflare (если используется)

• Забыть OCSP-stapling bundle с новым cert — TLS-handshake замедлится
• Renew только server cert без intermediate — ERR_CERT_AUTHORITY_INVALID у клиентов
• Не reload сервер после замены — cert файлы обновились, но nginx держит старый в памяти
• Renew за 5 дней до expiry — нет запаса если что-то сломается
• Cloudflare Full (strict) + legacy origin cert — проверяйте chain через origin server directly

Чтобы ротировать SSL-сертификат без downtime, необходимо использовать метод, называемый обновление сертификата с помощью временного сертификата. Это включает в себя установку нового сертификата и обновление конфигурации сервера, не отключая текущий сертификат до момента, когда новый будет полностью готов к использованию. Используйте команду certbot certonly --standalone для получения нового сертификата и systemctl reload nginx для обновления конфигурации без остановки сервера.

Подготовка к ротации

Перед началом ротации SSL-сертификата убедитесь, что у вас есть доступ к текущему сертификату и ключам. Важно также проверить, какие сертификаты используются на сервере, и подготовить новый сертификат заранее.

1. Получите новый сертификат: Используйте certbot для получения нового сертификата. Например, команда certbot certonly --webroot -w /var/www/html -d yourdomain.com создаст новый сертификат для вашего домена.
2. Проверьте новый сертификат: Убедитесь, что новый сертификат установлен правильно, с помощью команды openssl s_client -connect yourdomain.com:443.
3. Обновите конфигурацию сервера: Внесите изменения в конфигурацию вашего веб-сервера (например, Nginx или Apache), чтобы указать на новый сертификат и ключ.
4. Перезагрузите сервер: Используйте команду systemctl reload nginx для Nginx или systemctl reload apache2 для Apache, чтобы применить изменения.

Следуя этим шагам, вы сможете успешно ротировать SSL-сертификат без downtime.

Пример ротации SSL-сертификата на Nginx

Рассмотрим практический пример ротации SSL-сертификата на сервере Nginx. Предположим, у вас есть сертификат, который нужно обновить.

1. Получите новый сертификат: Выполните команду:

certbot certonly --webroot -w /var/www/html -d yourdomain.com

1. Проверьте новый сертификат: Используйте команду:

openssl s_client -connect yourdomain.com:443

1. Обновите конфигурацию Nginx: Откройте файл конфигурации вашего сайта:

nano /etc/nginx/sites-available/yourdomain.com

Измените пути к сертификату и ключу:

ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;

ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;

1. Проверьте конфигурацию Nginx: Перед перезагрузкой сервера проверьте конфигурацию на наличие ошибок:

nginx -t

1. Перезагрузите Nginx: Чтобы применить изменения, выполните команду:

systemctl reload nginx

После выполнения этих шагов ваш новый сертификат будет активирован без downtime, и пользователи смогут продолжать пользоваться вашим сайтом без перебоев.