С марта 2026 года TLS-сертификаты выдают максимум на 200 дней. В марте 2027 года срок сократится до 100 дней, в 2029-м — до 47. Этот график приводит SSL Dragon со ссылкой на решение CA/Browser Forum.
При сроке 47 дней один сертификат придётся обновлять около восьми раз в год. Если веб-клиент 1С, сервер взаимодействия и LDAPS используют разные сертификаты, администратор получит до 24 продлений: 3 × 8.
Убирать из календаря нужно не дату продления, а весь цикл. Сертификат надо выпустить, установить, передать службе и проверить снаружи. Успешное задание cron подтверждает запуск команды, но не доступность публикации.
Где заканчивается работа ACME-клиента
ACME-клиент доказывает удостоверяющему центру контроль над доменом, запрашивает сертификат и позднее продлевает его. Так протокол описывают SSL Dragon и обзор ACME-клиентов Fastfox.
До пользователя сертификат проходит ещё несколько этапов. На каждом цепочка может оборваться.
| Этап | Что делает ACME-клиент | Что настраивает администратор | Чем подтвердить результат |
|---|---|---|---|
| Проверка домена | Передаёт данные проверки удостоверяющему центру | Открывает порт 80 либо настраивает доступ к DNS API | Проверяет успешное завершение проверки |
| Выпуск | Получает новый сертификат и ключ | Выбирает центр сертификации и учётную запись | Сверяет срок и состав SAN |
| Установка | Сохраняет файлы или импортирует сертификат | Указывает каталог, хранилище или службу-получателя | Проверяет сертификат в целевом месте |
| Применение | Может вызвать сценарий после продления | Настраивает проверку конфигурации и reload службы | Подключается к конечному адресу |
| Контроль | Запускает продление по расписанию | Добавляет внешний мониторинг и уведомления | Сверяет сертификат, который видит пользователь |
Автоматизация закончена, когда внешняя проверка увидела новый сертификат. Запись файла на диск этого не доказывает.
Webfull рекомендует контролировать ошибки reload или restart веб-сервера после обновления сертификата. В рабочей схеме за выпуском следуют проверка конфигурации, reload и обращение к конечному адресу. Так мониторинг проверяет не отдельную команду, а результат всей цепочки.
Некоторым службам после импорта в хранилище нужно ещё одно действие. SSL Dragon приводит пример с RDP: win-acme вызывает ImportRDListener.ps1, а сценарий записывает отпечаток нового сертификата в настройки слушателя. Для другого компонента порядок применения ищите в документации его разработчика.
Способ проверки домена выбирают по доступности службы
При http-01 удостоверяющий центр запрашивает специальный токен по HTTP через порт 80. Этот способ подходит для доступной извне публикации, если запрос попадёт к ACME-клиенту.
Закрытый порт 80 ломает проверку. Webfull также относит к причинам сбоя изменённый маршрут Nginx. До настройки продления проверьте, куда попадает запрос к служебному адресу ACME.
При dns-01 клиент создаёт TXT-запись в DNS, а удостоверяющий центр проверяет её наличие. По данным Fastfox, dns-01 требуется для wildcard-сертификатов.
В этом режиме проверка проходит через DNS, а не через веб-публикацию. Клиенту нужен доступ к API DNS-провайдера. Webfull называет истёкший API-токен одной из причин сбоя автопродления.
| Ситуация | Способ проверки | Что потребуется | Частая точка отказа |
|---|---|---|---|
| Одна внешняя публикация 1С | http-01 | Доступ к порту 80 и служебному пути | Порт закрыт или маршрут изменён |
| Wildcard для нескольких узлов | dns-01 | DNS API и право менять TXT-записи | Истёк API-токен |
| Служба без веб-сайта | dns-01 | Управляемая DNS-зона | TXT-запись не появилась к моменту проверки |
| Несколько имён в одном сертификате | Зависит от доступности каждого имени | Проверка всех SAN | Часть имён ведёт на другой узел |
| Коммерческий удостоверяющий центр | Поддерживаемый им способ | ACME-учётная запись и данные EAB | Неверный идентификатор или HMAC-секрет |
Если хотя бы одно имя не проходит выбранную проверку, общий выпуск остановится. Сначала нарисуйте маршрут для каждого имени, затем выбирайте клиент.
Коммерческие удостоверяющие центры могут потребовать External Account Binding, сокращённо EAB. SSL Dragon описывает его как пару из идентификатора ключа и HMAC-секрета. Эта пара связывает заказ сертификата с ACME-аккаунтом.
EAB не заменяет проверку домена. Клиенту по-прежнему придётся пройти http-01, dns-01 или другой способ, который поддерживает удостоверяющий центр.
Клиент зависит от точки завершения TLS
Точка завершения TLS принимает HTTPS-соединение и отдаёт сертификат. Это может быть Nginx, Apache, IIS, балансировщик или отдельный компонент инфраструктуры.
Выбирать ACME-клиент по числу упоминаний бессмысленно. Смотрите, куда он установит сертификат и какое действие выполнит после продления.
| Среда | Подходящий клиент | Проверка домена | Куда попадает сертификат | Что применяет обновление |
|---|---|---|---|---|
| Apache или Nginx на Linux | Certbot | http-01 либо dns-01 через плагин | Файлы сертификата и ключа | Плагин или сценарий развёртывания |
| IIS на Windows | win-acme | Способ из задания клиента | Хранилище сертификатов Windows | Привязка IIS или отдельный сценарий |
| Несколько Linux-служб | acme.sh | http-01 либо DNS API | Каталог клиента, затем каталоги служб | Deploy-hook для каждой службы |
| Служба без HTTP-публикации | Клиент с DNS API | dns-01 | Хранилище или каталог службы | Сценарий импорта и перезапуска |
| Несколько разнородных узлов | Центральный менеджер либо клиенты на узлах | По схеме каждого домена | На каждую точку завершения TLS | Отдельное действие для каждой службы |
Ориентируйтесь на последний столбец. Получить сертификат проще, чем гарантированно передать его нужной службе.
Certbot поддерживает плагины для Apache и Nginx, standalone-режим и выбор ACME CA через параметр --server. Эти возможности перечисляет Fastfox. Для публикации базы через Apache пригодится отдельная схема настройки Apache и HTTPS.
В standalone-режиме клиент сам отвечает на проверочный запрос. До запуска проверьте, не занят ли порт действующим веб-сервером. Для готовой публикации чаще используют webroot или серверный плагин.
win-acme запускают в Windows из PowerShell с повышенными правами. По инструкции SSL Dragon клиент импортирует сертификат в хранилище Windows. Для IIS после этого можно обновить привязку сайта.
Но одного импорта хватает не каждой Windows-службе. SSL Dragon приводит пример RDP: сценарий ImportRDListener.ps1 записывает новый отпечаток в настройки слушателя. Для своей службы найдите завершающее действие в документации разработчика.
acme.sh написан на POSIX-совместимом shell и не требует Python или Go. По данным Fastfox, клиент использует стандартные утилиты, поддерживает DNS API и создаёт cron-задание. Такой вариант подходит для Linux-узла с несколькими получателями сертификата.
Cron здесь отвечает только за периодический запуск. Установку и применение сертификата настройте отдельно для каждой службы: у Nginx, LDAP-прокси и других компонентов различаются каталоги и команды reload.
Цепочка для публикации 1С за Nginx
Для одной публикации соберите последовательный сценарий. Не раскладывайте выпуск, копирование и reload по независимым заданиям: между ними появятся непроверенные состояния.
Рабочая цепочка выглядит так:
- ACME-клиент подтверждает контроль над доменом.
- Клиент получает новый сертификат и полную цепочку.
- Сценарий после продления проверяет наличие файлов.
- Сценарий устанавливает файлы туда, откуда их читает Nginx.
- Nginx проверяет конфигурацию.
- Служба перечитывает конфигурацию.
- Внешний узел подключается к адресу публикации.
- Мониторинг сверяет срок, SAN и цепочку доверия.
- Система отправляет сообщение при несовпадении.
Между шагами нужна остановка по ошибке. Если проверка конфигурации не прошла, сценарий не вызывает reload. Если внешний узел видит старый сертификат, продление нельзя считать завершённым.
Не подменяйте согласованную установку последовательным копированием файлов. Служба может прочитать новый сертификат вместе со старым ключом. Сначала подготовьте комплект в отдельном месте, затем подключите готовую пару.
После reload проверьте адрес веб-клиента. Локальный файл отвечает только на вопрос о содержимом диска. Если перед Nginx стоит CDN или балансировщик, пользователь может получать сертификат с другого узла.
Когда сертификат уже истёк и веб-клиент не открывается, плановая цепочка не вернёт доступ сама. Используйте порядок проверки фактического сертификата публикации.
Сервер взаимодействия и LDAPS требуют отдельных действий
Сервер взаимодействия может использовать другой каталог, хранилище и способ перечитывания сертификата. Не включайте его в сценарий Nginx только из-за похожего доменного имени. Установите SSL по схеме подключения компонентов сервера взаимодействия.
LDAPS добавляет ещё одну границу. Сертификат может стоять на контроллере домена или балансировщике перед несколькими контроллерами. Проверять нужно адрес, к которому подключается 1С.
Если LDAP-прокси обновил сертификат, но авторизация не проходит, одного TLS-теста мало. После технической проверки выполните вход контрольной учётной записью. Для нескольких контроллеров пригодится схема проверки единого адреса LDAPS.
Центральный менеджер сертификатов упрощает учёт, но его отказ затрагивает сразу несколько служб. Локальные клиенты не зависят от общего узла, зато их конфигурации труднее сверять. Для небольшой компании можно провести границу по точкам завершения TLS: один клиент или агент на каждую точку.
Внешняя проверка показывает результат для пользователя
Мониторинг лучше запускать не с сервера, где работает ACME-клиент. Иначе общая проблема узла или сети остановит продление вместе с проверкой.
В инструкции от 1 августа 2026 года Webfull рекомендует контролировать срок сертификата, цепочку intermediate CA и редирект HTTP→HTTPS. Отдельные проверки охватывают SAN, wildcard и поддомены. При CDN Webfull советует различать origin и edge: сертификаты на них могут не совпадать.
| Проверка | Какой сбой ловит | Откуда запускать | Кому отправлять сигнал |
|---|---|---|---|
| Срок сертификата | Продление не состоялось | Внешний узел | Администратору 1С и инфраструктуры |
| Цепочка доверия | Не установлен intermediate CA | Внешний узел | Ответственному за веб-сервер |
| SAN и имя узла | Выпущен сертификат для другого адреса | Из пользовательской сети | Администратору публикации |
| HTTP→HTTPS | Редирект отсутствует или зациклен | Внешний узел | Ответственному за Nginx или Apache |
| Origin и CDN | На одном уровне остался старый сертификат | По двум маршрутам | Владельцам CDN и origin |
| Вход в веб-клиент | TLS работает, но публикация недоступна | С контрольного узла | Администратору 1С |
Внутренний таймер сообщает, что команда стартовала. Внешняя проверка показывает, дошёл ли новый сертификат до пользователя.
Webfull предлагает уведомления за 30, 14, 7, 3 и 1 день. Это рекомендация автора инструкции, а не требование ACME или CA/Browser Forum.
При коротком сроке первый порог может сработать вскоре после выпуска. Такой сигнал покажет, что сертификат не обновился по ожидаемому графику. В уведомлении укажите имя узла, оставшийся срок и маршрут проверки.
Webfull также рекомендует дублировать уведомления в Telegram и почту. Два канала снижают зависимость от одной системы доставки. Сбой почты не скроет предупреждение об истечении сертификата.
Схема для трёх сертификатов
Возьмём небольшую компанию с тремя точками: Nginx перед веб-клиентом, сервер взаимодействия и балансировщик LDAPS. Допустим, каждая точка использует отдельный сертификат.
SSL Dragon оценивает ручную нагрузку при сроке 47 дней в восемь продлений на сертификат ежегодно. Получаем 3 × 8 = 24 операции в год. Для другого контура используйте формулу: число сертификатов × 8.
Эти 24 операции нельзя заменить тремя таймерами. Для каждой точки нужны четыре части: выпуск, установка, применение и внешняя проверка. Общими могут быть мониторинг и доставка уведомлений.
Перед передачей схемы в эксплуатацию проверьте пять вещей:
- выполните тестовое продление до конца текущего срока;
- подтвердите новый срок по внешнему адресу;
- проверьте цепочку доверия и все SAN;
- убедитесь, что каждая служба перечитала сертификат;
- вызовите тестовую тревогу в двух каналах.
После такой проверки дату продления можно убрать из личного календаря администратора. Оставьте ежедневный контроль срока и маршрута: человек подключится, если цепочка выпуска или установки оборвётся.