#Симптомы и область применимости
После автоматического продления сертификата в панели хостинга браузер продолжает получать старую цепочку. Панель управления, сайт на Nginx/Apache и внешний CDN могут иметь разные хранилища сертификатов; важно выяснить, какой из узлов отвечает на публичный TLS.
#Причины и диагностические признаки
| Возможная причина | Как узнать | Что делать |
|---|---|---|
| Панель выпустила сертификат, но сайт использует старую привязкуВыбран другой виртуальный узел/домен или сервер не перечитал конфигурацию. | В панели новая дата, а снаружи другая цепочка | Сопоставьте привязку домена и TLS-терминатор. |
| Сертификат выдаёт внешний проксиCDN или балансировщик завершают TLS раньше веб-сервера. | Изнутри правильная цепочка, а в интернете старая | Обновите сертификат именно на входящем публичном узле. |
| Сертификат панели и сайта перепутаныСертификат адреса административной панели не обязан обслуживать все сайты. | Вход в панель защищён, но домен сайта нет | Проверяйте отдельные настройки сайта. |
#Пошаговая диагностика и исправление
- 1. Определите внешний домен и конечный адресОткройте страницу сайта в приватном окне и посмотрите данные сертификата: Common Name/SAN, срок и выдающий центр. Запишите точный адрес, в том числе www, и наличие CDN. Не принимайте ошибку браузера ради административных действий на незнакомом ресурсе.
- 2. Снимите публичную цепочку независимо от браузераНа своём компьютере выполните OpenSSL-проверку с SNI. В выводе посмотрите предъявленную цепочку и ошибки. Если сайт доступен по IPv4 и IPv6, проверьте адреса отдельно; один исправленный IP не означает готовность всего домена.
- Терминал с OpenSSL, замените доменLinux · Терминал (Bash)КомандаТерминал с OpenSSL, замените домен. Сертификат может выдаваться CDN, а не сервером панели.
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null
- 3. Посмотрите статус выдачи в панелиВойдите в панель хостинга по официальному адресу администратора, откройте список сайтов, выберите нужный домен и его настройки HTTPS/SSL. Названия пунктов отличаются у FASTPANEL, ISPmanager и Plesk, поэтому ищите раздел сайта, а не предполагайте одно универсальное меню.
- 4. Сверьте имя, срок и привязкуПроверьте не просто появление нового сертификата в хранилище, а выбор его для конкретного сайта и всех алиасов. Если www работает иначе, проверьте отдельный виртуальный узел и альтернативные имена. Не удаляйте старый сертификат до уверенности, что новый выбран.
- 5. Определите, какой сервер завершает TLSПосмотрите DNS-адреса домена и сетевую схему: панель может управлять Apache за Nginx, а снаружи дополнительно работать CDN. При внешнем TLS-терминаторе выпуск сертификата на исходном сервере не меняет публичный сертификат автоматически.
- 6. Проверьте применимость изменений панелиУзнайте, создаёт ли панель конфигурацию Nginx и Apache автоматически. Не правьте сгенерированный конфигурационный файл вручную: следующая операция панели может перезаписать изменения. Сохраните экспорт параметров и выполните штатное «применить конфигурацию», если предусмотрено вашей версией.
- 7. При необходимости проверьте сервис на сервереЕсли есть административный SSH и известно, что входящий веб-сервер — Nginx, прочитайте его действующие сертификатные пути и выполните nginx -t. Не перезапускайте все службы из панели при работе критичных сайтов без согласованного окна обслуживания.Linux · Терминал (Bash)КомандаНужен sudoТолько для сервера Nginx; проверка синтаксиса без применения изменений.
sudo nginx -t
- 8. Повторите внешнюю проверку всех точекПосле корректной установки нового сертификата проверьте внешний домен с SNI, алиас www, IPv4 и IPv6 и раздельно адрес самой панели. Если один маршрут по-прежнему старый, ищите другой узел или кеш конфигурации, а не многократно выпускайте сертификаты.
#Как убедиться, что проблема устранена
На всех публичных маршрутах сайт выдаёт новый действующий сертификат с подходящей цепочкой, а адрес панели при необходимости использует свой отдельный корректный сертификат. Прочие сайты на сервере работают как прежде.
#Если проблема осталась
Если в панели сертификат новый, а снаружи старый, сохраните результаты OpenSSL и проверьте балансировщик/CDN. Не удаляйте сертификаты других сайтов и не отключайте HTTPS ради исправления привязки.