SSL сертификатът и катинарчето: какво става, когато изтече

Представете си събота сутрин в къща за гости. Гост пише: „Сайтът ви ми казва, че е опасен.“ Нищо не е хакнато. Сертификатът е изтекъл в петък вечерта, а предупреждението е отишло в пощата на човек, който отдавна не я чете. Ето какво прави сертификатът, къде отиде катинарчето, защо сертификатите стават все по-кратки и как да не научавате за изтичането от клиентите си.

Какво прави сертификатът

Сертификатът върши две неща. Първо, шифрова връзката между телефона на посетителя и сайта. Ако някой попълни формата за запитване през безплатния интернет в кафене, никой в същата мрежа не може да прочете какво е написал. Второ, доказва, че сайтът, с който браузърът говори, наистина е на домейна от адреса, а не на някой, който се представя за него.

Затова сертификатът не е нужен само на онлайн магазините. Всяка форма, в която клиент оставя телефон или имейл, минава през тази връзка. Формата за запис в стоматологичен кабинет или запитването до адвокатска кантора пренасят точно такива данни.

Адресът на сайт със сертификат започва с https://. Самата технология отдавна се казва TLS, но почти всички, включително хостинг фирмите, продължават да я наричат SSL. Става дума за едно и също нещо.

Важно е и какво сертификатът не прави. Той не казва, че фирмата зад сайта е честна. Измамните сайтове, които копират банки и куриерски фирми, също имат сертификати, често безплатни. Сертификатът казва „връзката е защитена“, а не „тук е безопасно да платите“.

Къде отиде катинарчето

Дълги години знакът за защитена връзка беше катинарче вляво от адреса. През септември 2023 г., с версия 117, Chrome го смени с неутрална икона, която прилича на два плъзгача от настройки. Google обясни решението със собствено проучване: едва 11% от участниците са разбирали точно какво означава катинарчето. Повечето хора го четат като „този сайт е надежден“, а то никога не е означавало това.

Днес в Chrome защитеният сайт има само тази неутрална икона. Сайтът без сертификат е отбелязан с „Няма защита“ до адреса, а опасните сайтове получават червено предупреждение. С други думи, защитата е нормалното състояние, а браузърът сигнализира само за отклоненията. В някои други браузъри катинарчето още стои, но смисълът му е същият.

Следствието е и за парите. Някога скъпите сертификати с разширена проверка показваха името на фирмата до адреса. От версия 77 през 2019 г. Chrome вече не го показва там, а го е преместил в прозореца с подробности. За малък бизнес това значи, че платеният сертификат не изглежда различно за клиента от безплатния, а защитата на връзката е същата. Ако ви предлагат скъп сертификат „за доверие“, попитайте какво точно ще види клиентът ви.

Още една промяна засяга сайтовете, които все още нямат сертификат. Google обяви, че от есента на 2026 г. Chrome постепенно започва по подразбиране да пита посетителя, преди за първи път да отвори публичен сайт без защитена връзка. Тоест клиентът вижда въпрос дали изобщо да продължи, преди да е видял каквото и да е от сайта. Ако адресът ви още започва с http://, поправката е сертификат плюс автоматично пренасочване към https://.

При по-стар сайт проверете след това и дали всички снимки и файлове се зареждат по новия адрес. Елемент, който още се тегли през http://, може да бъде блокиран от браузъра, а на мястото му да остане празно.

Какво вижда клиентът, когато сертификатът изтече

Не малка икона, а цяла страница с предупреждение. В Chrome на български тя започва с „Връзката ви не е частна“, а отдолу стои код като NET::ERR_CERT_DATE_INVALID. Браузърът спира зареждането и съветва човека да не продължава. Технически често може да се продължи, но малко хора го правят, и с право: точно така изглежда и опит за подслушване на връзката. При сайтове, които са обявили, че приемат само защитена връзка, браузърът изобщо не дава възможност да се продължи.

Какво значи това за бизнеса. Онлайн магазинът спира да получава поръчки. Формата за запитване не се вижда. Рекламата в Google продължава да води хора, кликовете се плащат, а хората попадат на предупреждението. Клиент, който види „Връзката ви не е частна“ на сайта на зъболекар или счетоводна кантора, не мисли за сертификати. Мисли, че нещо с фирмата не е наред.

Едно уточнение: същото предупреждение излиза и когато датата и часът на устройството на посетителя са грешни. Така пише и в помощните страници на Chrome. Ако ви се оплаче един човек, първо отворете сайта сами, от друг телефон. Ако и вие виждате предупреждението, проблемът е при сайта.

Защо сертификатите стават все по-кратки

Правилата за сертификатите, на които вярват браузърите, се приемат в CA/Browser Forum - организация на издателите на сертификати и на създателите на браузъри. През април 2025 г. там беше прието сроковете да се скъсяват на етапи. Решението мина без нито един глас против.

• Сертификатите, издадени преди 15 март 2026 г., можеха да важат до 398 дни, тоест около година и месец.
• Издадените от 15 март 2026 г. важат най-много 200 дни.
• От 15 март 2027 г. максимумът става 100 дни.
• От 15 март 2029 г. максимумът е 47 дни.

Целта е, ако сертификат бъде откраднат или издаден по грешка, вредата да е ограничена до кратко време. За собственика по-важно е следствието. При 47 дни сертификатът трябва да се подновява около осем пъти в годината. Ръчно, с напомняне в календара, това вече не е реалистично. Подновяването трябва да е автоматично, а някой трябва да разбере веднага, ако автоматиката се провали.

Let's Encrypt и безплатните сертификати

Let's Encrypt е организация с нестопанска цел, която издава сертификати безплатно. Сертификатите ѝ важат 90 дни и затова от самото начало са замислени да се подновяват автоматично от сървъра. Много хостинг фирми ги издават сами за сайтовете на клиентите си.

И Let's Encrypt скъсява сроковете. От май 2026 г. по желание може да се получи сертификат за 45 дни. От 10 февруари 2027 г. стандартният ще важи 64 дни, а от 16 февруари 2028 г. - 45 дни. При добре настроено подновяване собственикът няма да усети нищо от това.

Една промяна обаче засяга точно хората, които разчитат на напомняния. От 4 юни 2025 г. Let's Encrypt вече не изпраща имейли преди изтичането на сертификат. Ако досега някой е научавал за проблем с подновяването от такова писмо, вече няма да получи нищо. Сертификатът просто ще изтече.

Къде автоматиката най-често се чупи: при преместване на сайта на друг сървър, при промяна в настройките на домейна и когато сертификатът покрива адреса без www, но не и този с www, или обратното. Сайтът на автосервиз може да се отваря нормално на единия адрес и да показва предупреждение на другия. Който напише адреса по памет, попада точно на грешния.

Как да проверите сайта си за пет минути

1. Отворете сайта в Chrome на компютър и натиснете иконата вляво от адреса. Изберете реда за защитената връзка, а после този за сертификата. Там е датата, до която той важи.
2. Проверете и двата варианта на адреса: с www и без www. И двата трябва да се отварят без предупреждение и да водят към един и същ адрес.
3. Напишете адреса с http:// отпред. Сайтът трябва сам да ви прехвърли на https://.
4. Ако имате поддомейни, например магазин или система за резервации на отделен адрес, отворете и тях. Всеки адрес трябва да е покрит от сертификат.
5. Попитайте човека, който поддържа сайта: подновява ли се сертификатът автоматично и кой ще разбере, ако подновяването се провали?
6. Ако отговорът на втория въпрос е „никой“, поискайте наблюдение. Има услуги, които проверяват сайта всеки ден и пишат, когато сертификатът наближава изтичане или сайтът спре да отговаря.

Кой отговаря за сертификата

Сертификатът днес е евтин или безплатен. Скъпо струва само изтичането, за което никой не е разбрал навреме. Затова въпросът не е „имаме ли сертификат“, а „кой получава известието, ако подновяването се провали“. Ако домейнът и хостингът са регистрирани на бивш служител или на старата агенция, писмата отиват при тях. Затова поискайте писмен отговор на три въпроса: кой издава сертификата, как се подновява и на чий имейл отиват известията. Пазете отговора заедно с данните за домейна. Защо това е опасно и за много други неща, има в статията кой притежава домейна и хостинга ви.

Добрата практика е подновяването да не зависи от ничия памет: сертификатът се подновява автоматично, проверката върви всеки ден, а при проблем известие получава човек, който реално ще реагира. Това е част от дигиталната сигурност на сайта, заедно със защитата от атаки и резервните копия.

ТемисигурностSSL сертификатHTTPSбраузъри