Как сертификаты учатся жить по новым правилам

Shopify сообщила, что внедрила новый стандарт ARI для автоматизации обновления SSL-сертификатов, чтобы лучше справляться с нагрузкой и отзывами. Это не про «надо обновить» — это про то, как система сама узнаёт, когда и как делать это правильно. У нас в Cetera это вызывает вопрос: ваш сайт, даже если работает, уже не в курсе, как должен вести себя в критический момент.

О чём речь и почему я считаю это важным для бизнеса

Речь о том, как сайты получают и обновляют SSL-сертификаты — ключевой элемент безопасности и доступности. До сих пор большинство систем полагались на статические сроки: например, «обновлять за 30 дней до окончания». Это просто правило, которое не учитывает, что сама CA (Let’s Encrypt) может изменить правила в любой момент. Shopify показал, что можно перестать угадывать и начать слушать. Это важно не потому, что сайт «включится» — а потому, что он не отвалится в самый неподходящий момент. У нас в Cetera видим, как компании теряют доступность из-за несвоевременного обновления, и это не всегда из-за технической ошибки. Это из-за того, что система не адаптируется к изменениям. Сайт, который не реагирует на новые правила, — это сайт, который уже устарел. Даже если он работает.

Как это устроено — что тут вообще происходит

Let’s Encrypt запустил новый стандарт ARI — ACME Renewal Information. Он позволяет системам запрашивать у центра сертификации рекомендуемый интервал для обновления. В ответ приходит JSON-ответ с началом и концом этого окна. Система больше не догадывается, когда обновлять — она получает точное указание. Это не просто «после 30 дней». Это «обновлять между 3 февраля в 4:00 и 4 февраля в 4:00». При этом ARI может динамически менять это окно: если сертификат был отозван, система получит срочное уведомление. Это не просто удобство — это система координации, которая распределяет нагрузку по всему интернету, а не только на ваш сервер. У нас в Cetera такие решения уже входят в архитектуру проектов, где безопасность — не отдельный модуль, а часть процесса.

Что изменилось на рынке: как делали раньше и как делают сейчас

Раньше всё зависело от жёстких правил: «обновлять за 30 дней». Это работало, пока все были на одной волне. Но когда Let’s Encrypt объявил о сокращении срока действия с 90 до 45 дней — системы, которые не умели адаптироваться, рухнули. Новые системы, как у Shopify, не полагаются на жёсткие сроки. Они спрашивают у CA: «а когда, по вашему мнению, нужно обновляться?» И делают это. Это не просто техническое улучшение — это переход от пассивного следования правилам к активному взаимодействию с инфраструктурой. У нас в Cetera это уже стало стандартом: мы не внедряем «настройки по умолчанию» — мы настраиваем систему на то, чтобы она умела слушать. Это особенно важно для сайтов, которые не просто «работают», а должны быть доступны 24/7.

Кому это касается и как понять, что это про ваш проект

Если у вас есть сайт, который использует SSL-сертификаты — это про вас. Особенно если вы не контролируете процесс обновления вручную. Если ваш сайт использует автоматизированные инструменты (например, certbot, acme-client, или даже встроенные механизмы в 1С-Битрикс), и вы не знаете, как именно он выбирает время для обновления — значит, вы ещё не перешли на современный уровень. У нас в Cetera видим, что даже крупные системы, работающие с тысячами доменов, не успевают адаптироваться, если не используют ARI. Это не про «только тех, кто умный». Это про тех, кто хочет, чтобы сайт не падал в самый неподходящий момент. Если вы не уверены, что ваша система знает, когда обновляться — это уже признак устаревания.

Что с этим делать — порядок действий в общем виде

Первый шаг — понять, как сейчас устроено обновление сертификатов. Проверьте, использует ли ваша система ACME-клиент, и поддерживает ли он ARI. Второй — проверить, есть ли в вашей инфраструктуре возможность получать и обрабатывать динамические окна. Третий — включить ARI, если это возможно. У нас в Cetera такие интеграции делаем на этапе аудита: мы смотрим, как система взаимодействует с CA, и если она полагается на статические сроки — предлагаем переход. Это не требует переписывания всего сайта. Это — обновление одного компонента. Четвёртый — настроить мониторинг: если ARI меняет окно — система должна это учитывать. Пятый — проверить, что при отзывах сертификата система реагирует быстро. Это не про «надо» — это про то, как избежать потери доверия.

Что мы с этим делаем

Мы в Cetera такие интеграции делаем так: сначала проводим аудит, где проверяем, как работает обновление сертификатов. Если система использует статические сроки — это уже признак устаревания. Далее — анализируем, какие инструменты используются (certbot, acme-client, 1С-Битрикс и т.д.) и проверяем, поддерживает ли они ARI. Если нет — внедряем поддержку, если возможно. Если клиент использует собственную систему — помогаем адаптировать её под стандарт. В таких проектах сначала считаем нагрузку, потом — встраиваем ARI как часть автоматизации. Мы работаем с 2002 года, более 1000 проектов. Сайт устаревает не тогда, когда ломается, а когда перестаёт давать то, что уже дают другие. Время, когда вы можете просто «довериться» системе, уже прошло. Настало время, когда система должна быть способна слушать. Разговор о задаче.

Это часть нашей работы — Администрирование. Поддерживаем сайты всех типов на CMS и фреймворках: Cetera CMS, Laravel, Yii2, InSales, «1С-Битрикс», Bitrix24, WordPress, WooCommerce, Ecwid, OpenCart, Drupal, Joomla, Magento2, Shopify и самописные системы на PHP и Python. Инфраструктура, развитие и продвижение включены. Администрирование