Когда вы открываете адрес https://, браузер сначала запрашивает у сервера его сертификат. Сертификат отвечает на два вопроса: вправе ли этот сервер говорить от имени этого названия и каким ключом шифровать разговор.

Название SSL устарело. В современных соединениях используется TLS, протокол защиты транспортного уровня. Люди всё ещё говорят «SSL-сертификат», и в повседневной речи эти два термина означают одно и то же.

Что внутри сертификата

Сертификат — это подписанный документ. MDN описывает его как привязку ключей сайта к его доменному имени. Его основные части:

  • Имена, для которых он действителен, например example.com и www.example.com.
  • Открытый ключ сервера.
  • Срок действия: дата начала и дата окончания. В RFC 5280 они называются notBefore и notAfter, а период включает оба конца.
  • Издатель — центр сертификации, который за него ручается.
  • Подпись издателя, по которой браузер проверяет, что ничего не было изменено.

Что он делает

  • Подтверждает личность. Браузер проверяет, что сертификат охватывает имя в адресной строке и что его подписал центр сертификации, которому браузер доверяет.
  • Шифрует. Открытый ключ позволяет браузеру и серверу договориться о ключах для зашифрованного соединения, чтобы другие участники на пути не могли прочитать или изменить передаваемое.

Цепочка доверия

Сервер редко предъявляет сертификат, подписанный непосредственно центром, который браузер уже знает. Он предъявляет свой сертификат и промежуточные сертификаты, которые связывают его с доверенным корневым. В RFC 5280 это называется путём сертификации: сертификат сайта плюс ноль или больше сертификатов центров, ведущих к точке доверия, которая у пользователя уже есть. Если одно звено отсутствует или недействительно, браузер отвергает весь путь.

Почему сертификаты истекают

У каждого сертификата есть дата окончания. Ограниченный срок жизни ограничивает и то, как долго остаётся полезной ошибка или украденный ключ. Это также означает, что сертификаты нужно продлевать. Продление нередко автоматизируют, а автоматизация может сломаться без всяких видимых признаков. После даты окончания браузеры перестают доверять сайту и показывают полноэкранное предупреждение, хотя с сервером всё в порядке. См. статью Как не допустить истечения SSL-сертификата.

Что сертификат не доказывает

Действительный сертификат говорит, что соединение зашифровано и что имя совпадает. Он не говорит, что сайт честный, безопасный или без ошибок. И не говорит, что приложение работает.

SSL-сертификаты в UptimeWire

Для каждого сайта, адрес которого начинается с https://, UptimeWire каждые шесть часов открывает настоящее защищённое соединение. Он проверяет даты, цепочку и то, что сертификат охватывает имя узла. Если сертификат неисправен или срок его действия близок к концу, приходит предупреждение по почте и в Telegram. За сколько дней предупреждать, вы выбираете для каждого сайта отдельно.

Если сервер недоступен, результат показывается как неизвестный, а не как сбой сертификата. UptimeWire предупреждает вас. Сертификаты он не продлевает и не устанавливает.