7 декабря 2025 года я продлил SSL-сертификат для krivoshein.site. Здесь стоит не бесплатный Let’s Encrypt, а платный GlobalSign AlphaSSL, купленный через FirstVDS: нормальная цепочка, предсказуемый срок и меньше сюрпризов на старых устройствах. Ниже весь путь от заказа в панели до конфига Nginx на WordOps и проверки через openssl.
Пригодится всем, кто ставит купленный сертификат руками. И сразу важная поправка на 2026 год: годовых сертификатов больше не выпускают, об этом в конце.
Продление в панели FirstVDS
Сертификат оформлен в панели FirstVDS, в разделе SSL-сертификатов. Выбираешь домен, продлеваешь заказ, дальше обычная история с CSR и подтверждением домена. CSR уже был, приватный ключ лежит на сервере, так что новый ключ не понадобился. В заказе заполняются данные владельца и выбирается способ подтверждения домена, я взял DNS TXT.
После оформления панель выдаёт строку такого вида:
_globalsign-domain-verification=XXXXXXXXXXXX...
Её надо добавить TXT-записью в DNS-зону домена у того, кто держит DNS. Через какое-то время GlobalSign видит запись, домен подтверждается, и сертификат уходит на выпуск. Потом в панели появляются файлы: набор архивов и отдельный CSR. Нужен zip с готовыми сертификатами.
Что лежит в архиве GlobalSign
www_krivoshein_site.crt: сертификат сайта на www.krivoshein.site, в SAN есть и krivoshein.site;GlobalSign GCC R6 AlphaSSL CA 2025.crt: промежуточный сертификат;GlobalSign.crt: корневой сертификат GlobalSign;www_krivoshein_site.p7b: то же самое в формате PKCS#7, нужен для IIS и Windows.
Приватный ключ в архив не входит, он создавался на сервере вместе с CSR и никуда оттуда не уходит. Показывать его где-то ещё плохая идея.
Каталог под сертификат на сервере
Сайт крутится на WordOps поверх Nginx. Чтобы не раскидывать ключи по системе, удобно держать всё в отдельном каталоге:
mkdir -p /etc/ssl/krivoshein.site cd /etc/ssl/krivoshein.site nano www_krivoshein_site.key # вставить приватный ключ chmod 600 www_krivoshein_site.key chown root:root www_krivoshein_site.key
Дальше копируем на сервер zip из панели и распаковываем:
cd /etc/ssl/krivoshein.site unzip /root/14836355.zip
Собираем fullchain и ca-bundle
Для Nginx нужны два файла. fullchain: сертификат сайта плюс промежуточный. ca-bundle для ssl_trusted_certificate: промежуточный плюс корневой, по нему Nginx проверяет OCSP-ответы для stapling.
cd /etc/ssl/krivoshein.site cat www_krivoshein_site.crt "GlobalSign GCC R6 AlphaSSL CA 2025.crt" > fullchain.crt cat "GlobalSign GCC R6 AlphaSSL CA 2025.crt" GlobalSign.crt > ca-bundle.crt chmod 644 fullchain.crt ca-bundle.crt
Корневой в fullchain класть не нужно: клиенты берут корневые сертификаты из своего хранилища.
Проверяем, что ключ подходит к сертификату
До правки конфига стоит убедиться, что ключ от этого сертификата, а не от прошлого набора. Сравниваем модули:
openssl x509 -noout -modulus -in www_krivoshein_site.crt | openssl md5 openssl rsa -noout -modulus -in www_krivoshein_site.key | openssl md5
Хэши совпали, значит пара правильная. Не совпали, где-то перепутан ключ, и reload Nginx делать нельзя.
Настройка Nginx в WordOps
В WordOps SSL-конфиг сайта лежит в /var/www/krivoshein.site/conf/nginx/ssl.conf. Прописываем пути к собранным файлам, директивы описаны в документации модуля ngx_http_ssl_module:
listen 443 ssl; listen [::]:443 ssl; ssl_certificate /etc/ssl/krivoshein.site/fullchain.crt; ssl_certificate_key /etc/ssl/krivoshein.site/www_krivoshein_site.key; ssl_trusted_certificate /etc/ssl/krivoshein.site/ca-bundle.crt; ssl_stapling on; ssl_stapling_verify on;
У AlphaSSL OCSP есть, адрес прописан в самом сертификате, так что stapling работает. Редирект с http на https отдельным блоком на 80 порту:
server {
listen 80;
listen [::]:80;
server_name krivoshein.site www.krivoshein.site;
return 301 https://$host$request_uri;
}
Проверка и reload
nginx -t && systemctl reload nginx
openssl s_client -connect krivoshein.site:443 -servername krivoshein.site \
</dev/null 2>/dev/null | openssl x509 -noout -dates -issuer -subject
Сайт отдаёт новый сертификат от GlobalSign GCC R6 AlphaSSL CA 2025 со сроком до 8 января 2027 года. То же самое видно и в браузере.
Что изменилось в 2026 году: 199 дней вместо года
С 15 марта 2026 года по требованиям CA/Browser Forum публичный TLS-сертификат живёт не больше 200 дней. GlobalSign берёт на день меньше: по её таблице сроков у AlphaSSL максимум 199 дней. Дальше будет короче: 100 дней с марта 2027 года и 47 дней с марта 2029-го.
Мой сертификат выпущен до этой даты, поэтому и действует больше года. Следующий годовой заказ будет выглядеть иначе: по FAQ GlobalSign, заказ на год, сделанный с 14 марта 2026 года, даёт два сертификата по 199 дней, второй выпускается бесплатно. То есть руками ставить сертификат придётся минимум дважды в год, а с 2027-го ещё чаще.
Ещё одна деталь для следующего продления. GlobalSign переводит выпуск TLS-сертификатов на новые корни, которые используются только для TLS: для RSA это R46, переход клиентов шёл с 27 июля 2026 года, подробности в документации GlobalSign. Так что в следующем архиве промежуточный и корневой сертификаты будут называться иначе. fullchain собираем из тех файлов, что пришли, а не по старым именам из этой заметки.
Если сайту не нужен именно платный сертификат, при таких сроках проще автоматизировать бесплатный. Let’s Encrypt, кстати, тоже сокращает сроки, об этом я писал в заметке про 64-дневные сертификаты.
Чеклист продления
- в панели FirstVDS продлить заказ SSL для домена;
- выбрать подтверждение через DNS TXT, добавить запись
_globalsign-domain-verification, дождаться выпуска; - скачать zip с сертификатами;
- на сервере: ключ с правами 600, распаковать архив, собрать fullchain.crt и ca-bundle.crt из того, что пришло;
- сравнить модули ключа и сертификата через openssl;
- прописать пути в ssl.conf, сделать
nginx -tи reload; - проверить сертификат через
openssl s_clientи поставить напоминание: следующий сертификат проживёт не больше 199 дней.
Ставить купленный сертификат руками несложно: главное аккуратно обращаться с ключом и правильно собрать цепочку, а openssl до reload страхует от ошибок. Но с 2026 года делать это придётся минимум дважды в год, так что чеклист лучше держать под рукой или задуматься об автоматизации.
