Naprawa wygasłego certyfikatu SSL: jak to zrobić i nie dopuścić do powtórki

Klient pisze: „strona mówi, że połączenie nie jest bezpieczne”. Odwiedzający widzą pełnoekranowe ostrzeżenie, formularze przestają konwertować, a roboty wyszukiwarek mogą nie dojść do treści. Wygasły certyfikat SSL to jedna z najbardziej widocznych awarii strony i jedna z najłatwiejszych do uniknięcia. Naprawa wygasłego certyfikatu SSL zaczyna się od potwierdzenia daty, nie od zgadywania po kolorze kłódki.

Ten przewodnik prowadzi przez potwierdzenie problemu, samą naprawę i ustawienie kontroli, żeby certyfikat nie wygasł po cichu drugi raz.

Krok 1. Potwierdź, że certyfikat naprawdę wygasł

Przeglądarki pokazują błędy w rodzaju NET::ERR_CERT_DATE_INVALID (Chrome) albo „Ostrzeżenie: potencjalne zagrożenie bezpieczeństwa” (Firefox). Nie zakładaj przyczyny. Sprawdź daty:

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates

Patrz na notAfter. Jeśli data jest w przeszłości, certyfikat wygasł. Jeśli jest w przyszłości, masz inny problem. Niżej jest lista podobnych objawów.

Krok 2. Odrzuć błędy, które tylko wyglądają jak wygaśnięcie

Nie każdy błąd certyfikatu to data:

Zła nazwa hosta. Certyfikat obejmuje example.com, ale nie www.example.com.
Brak certyfikatu pośredniego. W jednej przeglądarce działa, w drugiej nie.
Serwowany jest inny certyfikat. CDN, load balancer albo drugi virtual host odpowiada starym plikiem.
Zły zegar systemowy. Jeśli błąd widać tylko na jednym urządzeniu, sprawdź jego datę i godzinę.

Krok 3. Odnów certyfikat i go zainstaluj

Naprawa zależy od tego, skąd certyfikat pochodzi.

Let's Encrypt / certbot. Uruchom sudo certbot renew i przeczytaj błąd. Najczęstsze przyczyny to zablokowany port 80, zły webroot albo dane uwierzytelniające do wyzwania DNS. Szczegóły: certbot renewal failed.

Panel hostingu (cPanel, FastPanel, Plesk). Wystaw certyfikat ponownie albo wymuś odnowienie w sekcji SSL. Gdy AutoSSL padnie, panel zwykle zapisuje powód. Często rekord DNS wskazuje gdzie indziej.

Certyfikat płatny. W razie potrzeby wygeneruj nowy CSR, dokończ walidację, potem zainstaluj nowy certyfikat i łańcuch.

CDN albo proxy (Cloudflare i podobne). Sprawdź oba certyfikaty: brzegowy, który widzi odwiedzający, i origin między CDN a twoim serwerem. Wygasnąć może każdy z nich.

Krok 4. Przeładuj serwer WWW

Częsta pułapka: plik na dysku jest już nowy, a serwer dalej serwuje stary certyfikat z pamięci. Przeładuj go:

sudo systemctl reload nginx    # or apache2 / httpd

Potem sprawdź poleceniem openssl powyżej, nie tylko we własnej przeglądarce. Ona potrafi trzymać stary stan w cache.

Krok 5. Ustal, dlaczego certyfikat wygasł

Usunięcie objawu to połowa roboty. Typowe przyczyny:

Autoodnawianie nigdy nie ruszyło po migracji serwera.
Cron albo timer został usunięty.
DNS domeny się zmienił i walidacja pada.
Płatny certyfikat kupiono raz i nikt nie zapisał daty.
Certyfikat należy do subdomeny, o której nikt nie pamięta.

Zapisz przyczynę. Jeśli nie wiesz, czemu wygasł, wygasnie znowu.

Zapobieganie: data ma być widoczna

Sprawdzaj z zewnątrz. Łącz się z żywą domeną tak, jak robi to odwiedzający. Kontrola po stronie serwera nie widzi problemów na CDN i load balancerach.

Alertuj wcześnie i szeroko. Progi: 30, 14 i 7 dni. Wysyłaj na wspólną skrzynkę albo kanał, nie do jednego dewelopera.

Śledź każdy certyfikat. Staging, subdomeny klientów i serwery poczty też. Wygasły certyfikat na poczcie albo API psuje rzeczy po cichu.

Nie polegaj na mailach wystawcy. Let's Encrypt przestało wysyłać przypomnienia o wygaśnięciu w 2025 roku. Pominięte odnowienie nie daje już żadnego ostrzeżenia, jeśli nie monitorujesz sam.

Szykuj się na krótszą ważność. CA/Browser Forum zatwierdziło skracanie maksymalnej ważności certyfikatu: najpierw do 200 dni (od marca 2026), potem 100 dni (2027) i 47 dni (2029). Ręczne odnawianie przestanie być praktyczne. Automatyzuj wystawianie i monitoruj, czy automatyzacja naprawdę działa.

Krótka lista kontrolna

[ ] Potwierdź datę wygaśnięcia przez openssl
[ ] Wyklucz problem z nazwą hosta, łańcuchem i CDN
[ ] Odnów certyfikat i go zainstaluj
[ ] Przeładuj serwer WWW
[ ] Sprawdź spoza własnej sieci
[ ] Dodaj monitoring i alerty dla tej domeny
[ ] Zapisz przyczynę

Ostrzeżenie przeglądarki o wygasłym certyfikacie na laptopie

Naprawa wygasłego certyfikatu SSL nie kończy się na pliku

Odnowienie pliku to środek roboty, nie koniec. Przeładuj serwer WWW, potem sprawdź żywy certyfikat spoza maszyny. Plik na dysku z nową datą nic nie daje, jeśli nginx dalej serwuje stary łańcuch z pamięci.

Klientowi napisz krótką notatkę: certyfikat wygasł, jest odnowiony, nowa data wygaśnięcia jest taka. Bez elaboratu. Chce wiedzieć, że checkout działa.

Potem zapisz datę gdzieś poza serwerem. Panele hostingu, Cloudflare i pudełko pod biurkiem też wystawiają certyfikaty. Jeśli jedyny zapis brzmi „certbot jest zainstalowany”, kolejna awaria wygląda tak samo jak ta.

Przypomnienie ustaw na 14 dni, nie na 1 dzień. Nieudane wyzwanie HTTP-01 w piątek po południu jest poniedziałkową awarią, jeśli patrzysz dopiero dzień przed wygaśnięciem. Przewodnik po monitoringu na własnym serwerze jest siatką, gdy zadanie odnowienia milczy.

Jeśli ostrzeżenie brzmiało NET::ERR_CERT_DATE_INVALID, sprawdź też zegar na serwerze. Zła godzina systemowa daje tę samą stronę w przeglądarce co naprawdę wygasły certyfikat, a odnowienie jej nie zdejmie.

Notatki po naprawie wygasłego certyfikatu SSL

Zapisz, na jaką nazwę hosta narzekała przeglądarka. www i apex często mają osobne certyfikaty. Odnowienie jednego i reload nginx, gdy drugi nadal jest wygasły, wygląda jak „naprawione”, dopóki klient nie wejdzie drugim adresem.

Sprawdź łańcuch, nie tylko datę liścia. Nowy liść podpisany wygasłym pośrednim nadal ostrzega. openssl s_client pokazuje daty, których użyje przeglądarka.

Jeśli strona stoi za Cloudflare albo innym proxy, certyfikat widziany przez odwiedzających może nie być tym na origin. Odnawiaj ten z przodu. Certyfikat origin może być ważny, podczas gdy wygasł certyfikat brzegowy.

Po naprawie kliknij kłódkę na telefonie poza siecią biura. Cache błędów i wewnętrzny DNS sprawiają, że w biurze wszystko wygląda zdrowo.

Nową datę wpisz do trackera, zanim zamkniesz zgłoszenie. Awaria, którą właśnie zdjąłeś, wróci, jeśli jedynym śladem jest wątek na Slacku.

Jeśli odnowiony certyfikat nadal ostrzega, porównaj numer seryjny w przeglądarce z numerem na dysku. Różnią się, gdy odpowiedział zły virtual host albo CDN trzymał stary handshake. Wyczyść ten cache i sprawdź ponownie z sieci poza biurem, zanim powiesz klientowi, że naprawa wygasłego certyfikatu SSL jest skończona.

Przed zamknięciem zgłoszenia sprawdź jeszcze trzy rzeczy, które w tym samym tygodniu wracają jako „znowu nie działa”.

Pierwsza to nazwa, którą wpisuje klient, i nazwa w certyfikacie. Apex, www, sklep i panel to często cztery osobne nazwy. Odnowienie jednej nie rusza pozostałych. Wpisz je w tracker jako osobne wiersze, z datą z żywego połączenia, nie z katalogu na dysku.

Druga to poczta. Certyfikat na serwerze SMTP albo IMAP wygasa bez czerwonej strony w przeglądarce. Klient widzi, że maile nie dochodzą, a przyczyna jest ta sama co przy stronie. Jeśli agencja trzyma pocztę klienta, data tego certyfikatu należy do tej samej listy co strona.

Trzecia to odbiorca alertu, gdy automat padnie. Jedna skrzynka dewelopera, który jest na urlopie, to powtórka tej awarii. Potrzebny jest wspólny adres, próg na 14 dni i zapisana przyczyna z tego incydentu. Bez przyczyny następna osoba zacznie od zera i straci ten sam wieczór.

Pytania

Ile trwa naprawa wygasłego certyfikatu?

Przy działającym Let's Encrypt albo automacie w panelu: minuty. Przy płatnym certyfikacie, który wymaga walidacji: od minut do dnia albo dłużej.

Czy wygasły certyfikat szkodzi SEO?

Odwiedzających blokuje strona ostrzeżenia, a roboty mogą nie pobrać podstron w czasie awarii. Krótka przerwa rzadko zostawia trwałą stratę w rankingu, ale konwersje cierpią od razu.