В панели сертификат помечен как истёкший, хотя его уже продлили

#Описание и признаки неисправности

После автоматического или ручного продления TLS-сертификата панель хостинга продолжает показывать старую дату окончания либо браузер получает прежний сертификат. Важно различать запись в панели, файл на сервере и сертификат, реально выдаваемый клиентам по конкретному домену. Цель — проверить дату и отпечаток сертификата на каждом участке без отключения TLS-проверок и повторных запросов на выпуск сертификатов без необходимости.

#Как отличить возможные причины

#Пошаговая диагностика и решение

1. Уточните, что именно считается истёкшимВ браузере откройте страницу проблемного сайта по https://, нажмите значок рядом с адресом и откройте сведения о соединении и сертификате (точные названия зависят от браузера). Запишите дату окончания, доменные имена SAN и издателя; не нажимайте «Продолжить всё равно», если браузер предупреждает о недействительном сертификате. В панели откройте карточку сайта → сертификаты, запишите дату и его назначение.
2. Проверьте сертификат, реально передаваемый серверомНа компьютере с OpenSSL откройте терминал и запустите openssl s_client -connect example.org:443 -servername example.org </dev/null 2>/dev/null | openssl x509 -noout -dates -serial -subject. Замените оба example.org на свой домен. В выводе даты notBefore/notAfter, серийный номер и субъект. Если unable to load certificate, проверьте порт, домен и установку OpenSSL; не ставьте параметр отключения проверки сертификата.
3. Сравните адреса IPv4/IPv6 и wwwПроверьте dig A и dig AAAA либо DNS-записи панели; если адресов несколько, сертификат мог обновиться лишь на одном сервере. Сверьте отдельно основной домен и www, а также конечную точку CDN, если она используется. Обратите внимание: запись о продлении на исходном сервере не означает, что сертификат на внешнем прокси заменился автоматически.
4. Проверьте, назначен ли новый сертификат нужному сайтуВ панели откройте список сертификатов и карточку проблемного домена. Сравните названия и срок действия нового сертификата, затем убедитесь, что именно он выбран для HTTPS этого сайта, а не только добавлен в хранилище панели. Если сертификат не содержит нужный домен или www в SAN, используйте штатный процесс выпуска/добавления нужных имён после проверки DNS; не подменяйте файл чужого сайта.
5. Проверьте состояние веб-сервера без перезагрузкиПри доступе администратора выполните sudo nginx -t; для сайта за Apache — sudo apachectl configtest. Если тест ошибочен, нельзя применять изменения. Просмотрите сообщения панели о последнем применении сертификата и ошибки TLS в журналах. После подтверждения верного назначения можно штатно применить конфигурацию в панели; ручная перезагрузка допустима только после успешного теста и по регламенту.
6. Если сертификат на диске новый, но на линии старый — проверьте проксиУточните, где заканчивается TLS: в Cloudflare, балансировщике, на Nginx или на Apache. Сравните выданный клиенту сертификат с файлом, указанным в настройках именно конечной точки TLS. Если между посетителем и сервером CDN, сертификат посетителя и сертификат источника могут быть разными — это нормальная архитектура; проверяйте отдельно оба и не выдавайте сертификат источника за публичный.
7. Не запускайте многократный перевыпуск при расхождении датЕсли сертификат недавно продлён, сначала сохраните журнал задания и запишите точное время применения. Многократные ручные выпуски могут упереться в ограничения центра сертификации и не исправят неверную привязку. Повторная выдача оправдана только при неправильных SAN, отсутствии действительного сертификата или подтверждённой ошибке продления.
8. Повторите внешнюю проверку и подготовьте откатПосле штатного применения снова запустите openssl s_client ... | openssl x509 и откройте домен в браузере. Успех — новый срок действия для всех нужных имён и адресов, нет предупреждений, панель показывает верную привязку. Если при замене появляется ошибка HTTPS, верните прежние настройки в панели лишь при условии, что прежний сертификат ещё действителен, иначе используйте заранее подготовленный действительный сертификат или обращайтесь к администратору.
9. Команды для отдельных ситуацийВыберите только подходящий вариант. Это не одна последовательность: часть команд диагностирует проблему, а часть меняет настройки или данные.
   Выберите подходящий вариант — это не команды для последовательного выполнения

   Вариант 1На ПК с установленным OpenSSL, замените домен в двух местах.

   Linux · Терминал (Bash)КомандаКопировать всёВыделить

   На ПК с установленным OpenSSL, замените домен в двух местах. Команда читает публично отдаваемый сертификат; -servername указывает SNI.

   openssl s_client -connect example.org:443 -servername example.org </dev/null 2>/dev/null | openssl x509 -noout -dates -serial -subject

   Вариант 2Безопасная проверка конфигурации перед применением.

   Linux · Терминал (Bash)КомандаНужен sudoКопировать всёВыделить

   Безопасная проверка конфигурации перед применением. Нужен административный доступ к серверу.

   sudo nginx -t

#Проверка результата и дальнейшие действия

Проверка успешна, если домен и www при необходимости отдают действительный сертификат с верными SAN, серийный номер соответствует новому и пользователи не получают предупреждений. Если в панели дата устарела, а на линии всё исправно, прикладывайте к обращению даты и серийный номер без приватного ключа; приватный ключ не пересылайте.