Kratak odgovor
SSL sertifikat se obnavlja automatski kada je podešena automatska obnova (cron zadatak ili systemd tajmer), a komercijalni sertifikat obnovite ručno pre datuma isteka. Proverite datum isteka komandom `openssl x509 -enddate -noout -in sertifikat.crt`, postavite automatsku obnovu i pratite upozorenja. Na taj način sprečavate prekid rada sajta i upozorenja u pregledaču.
Kako se problem prepoznaje
- Pregledač prikazuje upozorenje „Veza nije privatna“ ili „Sertifikat je istekao“
- Korisnici ne mogu da pristupe sajtu ili se prikazuje bezbednosna greška
- HTTPS veza se prekida ili pregledač ne dozvoljava nastavak
- Alati za nadzor prijavljuju da je sertifikat istekao
- E-poruke o isteku sertifikata stižu od sertifikacionog tela
Najčešći uzroci
Automatska obnova nije podešena
Let's Encrypt sertifikati važe 90 dana i preporučuje se automatska obnova. Ako cron zadatak ili systemd tajmer nije aktivan, sertifikat će isteći.
Cron zadatak za obnovu ne radi
Zadatak može biti pogrešno napisan, nedostajati dozvole ili se izvršavati u pogrešnom okruženju, pa se obnova ne obavi.
Ručno upravljanje komercijalnim sertifikatom
Komercijalni sertifikati imaju ograničen rok važenja (prema važećim pravilima najviše 200 dana) i obično se obnavljaju ručno. Bez podsetnika lako se propusti datum isteka.
Promena konfiguracije servera
Nakon migracije sajta ili promene veb servera, putanje do sertifikata ili način obnove mogu biti pogrešni.
Netačno sistemsko vreme
Server može prijaviti istek ranije zbog pogrešnog sistemskog vremena. Proverite da li je vreme tačno.
Rešenje korak po korak
- 1
Proverite datum isteka sertifikata
Pokrenite
openssl x509 -enddate -noout -in /putanja/do/sertifikata.crtda vidite tačan datum. Alternativno, u pregledaču kliknite na katanac pored adrese i pogledajte detalje sertifikata. Zabeležite datum i uporedite ga sa trenutnim. - 2
Proverite da li je automatska obnova aktivna
Za Let's Encrypt sa certbotom, pokrenite
sudo certbot renew --dry-run. Ako je izlaz uspešan, obnova radi. U suprotnom, proverite cron zadatke (na primer sasudo crontab -l) ili systemd tajmere sasystemctl list-timers. - 3
Ručno obnovite sertifikat
Ako je sertifikat istekao, pokrenite
sudo certbot renew. Ako to ne uspe, pokrenitesudo certbot certonly --force-renewal -d vasaadresa.com; koristite--force-renewalsamo kada je neophodno zbog ograničenja broja izdavanja. Za komercijalni sertifikat, preuzmite novi od izdavaoca, napravite rezervnu kopiju starog fajla i zamenite ga. - 4
Ponovo učitajte veb server
Nakon obnove, primenite izmene:
sudo systemctl reload nginxilisudo systemctl reload apache2. Proverite da li sajt ponovo radi sa HTTPS. - 5
Podesite automatsku obnovu
Ako koristite Let's Encrypt, koristite samo jedan mehanizam automatske obnove. Za cron, proverite da li je u crontab-u korisnika root aktivan zadatak, na primer:
0 3 * * * /usr/bin/certbot renew --quiet(prilagodite putanju do certbot-a). Za systemd, proverite da li jecertbot.timeraktivan sasystemctl status certbot.timeri nemojte istovremeno da koristite cron. - 6
Testirajte obnovu
Pokrenite
sudo certbot renew --dry-runda simulirate obnovu bez stvarnog izdavanja. Uverite se da nema grešaka u vezi sa autentifikacijom ili dozvolama. - 7
Postavite nadzor isteka
Koristite alat kao što je
ssl-cert-checkili spoljni servis za praćenje. Podesite upozorenja najmanje 14 dana pre isteka. Redovno proveravajte e-poštu od sertifikacionog tela.
Ako ništa ne pomogne
Ako se sertifikat ne obnavlja ni nakon ručnog pokretanja, proverite logove: sudo journalctl -u certbot.service ili /var/log/letsencrypt/letsencrypt.log. Česte greške su neuspešna HTTP autentifikacija (za HTTP-01 izazov port 80 mora biti dostupan), pogrešna putanja do webroot direktorijuma ili nedostatak dozvola. Za komercijalne sertifikate, proverite da li ste instalirali i međusertifikat (CA bundle). Ako je sajt u produkciji i ne sme biti nedostupan, razmislite o privremenom korišćenju besplatnog sertifikata dok ne rešite problem. Uvek napravite rezervnu kopiju konfiguracije pre izmena.
Kako da sprečite da se ponovi
- Redovno proveravajte datum isteka sertifikata i podesite podsetnike
- Omogućite automatsku obnovu i testirajte je jednom mesečno
- Pratite e-poštu od sertifikacionog tela i ne ignorišite upozorenja
- Koristite alat za nadzor koji će vas obavestiti pre isteka
Kada je bolje pozvati stručnjaka
Ako niste sigurni kako da podesite automatsku obnovu ili se suočavate sa greškama pri obnovi koje ne možete da rešite, obratite se IT stručnjaku. Takođe, ako sajt ima visok promet i ne sme biti nedostupan, bolje je da obnovu prepustite profesionalcima.
Održavanje IT infrastrukture · Serveri, mreže, backup, bezbednost i helpdeskČesta pitanja
Koliko često treba obnavljati SSL sertifikat?
Let's Encrypt sertifikati važe 90 dana i preporučuje se automatska obnova. Komercijalni sertifikati danas najčešće važe znatno kraće od godinu dana (prema važećim pravilima najviše 200 dana), a tačan rok zavisi od izdavaoca. Uvek proverite datum isteka i podesite automatsku obnovu gde je moguće.
Šta se dešava ako sertifikat istekne?
Pregledači će prikazati upozorenje da veza nije bezbedna, a korisnici mogu odustati od posete. Uz HSTS ili strože bezbednosne politike pristup može biti potpuno blokiran, što utiče na bezbednost i reputaciju sajta.
Kako da znam da je obnova uspešna?
Nakon obnove, proverite novi datum isteka pomoću `openssl x509 -enddate -noout -in sertifikat.crt` ili u pregledaču. Uverite se da sajt radi bez upozorenja i da je veb server ponovo učitan.