Сертификат подтверждает, что сайт принадлежит вам, и включает шифрование: без него браузер помечает страницы как небезопасные, формы с паролями показывают предупреждение, а часть функций продукта просто не работает. Для Битрикс24 и сайтов на 1С-Битрикс это не косметика — без https ломаются обмен по API, мобильное приложение и внешние сервисы.
Зелёного замка в адресной строке давно нет: браузеры убрали его, потому что https стал нормой, а не достижением. Зато отсутствие сертификата теперь заметно сразу.
Дальше — как сертификат выпускают, продлевают и что делать, когда он перестал работать.
В виртуальной машине сертификаты настраиваются через меню: подключитесь к серверу по SSH под root и пройдите по цепочке 8. Manage web nodes in the pool → 3. Certificates configuration. Внутри три действия: выпустить бесплатный сертификат Let's Encrypt, поставить свой и вернуть самоподписанный по умолчанию.
Под капотом выпуском занимается отдельная утилита (dehydrated), её настройки лежат в каталоге пользователя bitrix. Знать это полезно: половина сообщений об ошибках приходит именно оттуда.
Выпуск
Выберите Configure "Let's encrypt" certificate и укажите:
- имя сайта в пуле;
- все домены через запятую — обязательно и с
www, и без, иначе половина посетителей увидит предупреждение; - адрес почты для уведомлений удостоверяющего центра.
Перед выпуском домен должен указывать на этот сервер: проверка идёт по доступности сайта, и на домене, который ещё не переехал, сертификат не выпустится.
Что ломается чаще всего
Соседний сайт с несуществующим доменом
Коварный случай: на сервере несколько сайтов, у одного домен больше не существует или не делегирован. При выпуске сертификата для другого, рабочего сайта процедура падает — сертификат скачивается и обновляется, но не устанавливается. Причина в том, что утилита обходит все сайты пула разом.
Лечение: убрать из пула сайты с мёртвыми доменами или вернуть им сертификат по умолчанию, прежде чем выпускать новый соседу.
Задача «finished», а сертификата нет
В списке фоновых задач операция помечена завершённой, но на сайте по-прежнему старый сертификат. Смотреть нужно журнал самой задачи: в нём будет настоящая причина — не прошла проверка домена, не хватило прав, не доступен служебный путь.
Рабочая последовательность при таком сбое: сначала Restore default certificate, затем выпуск заново. Попытки выпускать поверх сломанного состояния обычно повторяют ту же ошибку.
Сайт перестал открываться по https
После установки сертификата браузер отдаёт ERR_SSL_PROTOCOL_ERROR, а откат к сертификату по умолчанию не помогает. Обычно это значит, что в конфигурации веб-сервера остались ссылки на файлы, которых нет, или путь к сертификату прописан не там. Проверьте конфигурацию nginx и журнал его запуска — служба может работать со старым конфигом, пока её не перезапустили.
Ошибка про «dubious ownership»
В журнале появляется сообщение вида fatal: detected dubious ownership in repository at '/home/bitrix/dehydrated'. Это не про сертификаты, а про права на каталог утилиты: он принадлежит одному пользователю, а запускается от другого. Чинится приведением владельца каталога в порядок.
Не хватило места на диске
Отдельная причина, которую не ищут: при заполненном диске сертификат не выпускается и не продлевается, а в довесок может не подняться веб-сервер. Если сертификат внезапно перестал продлеваться, проверьте свободное место первым делом.
Продление
Сертификаты Let's Encrypt действуют 90 дней. Машина проверяет их по расписанию и перевыпускает заранее — вмешиваться не нужно. Если продление не сработало, запустите выпуск для того же домена ещё раз: система проверит срок и обновит сертификат.
Частые причины, по которым автопродление ломается:
- домен перестал указывать на сервер;
- служебный путь
/.well-known/закрыт редиректом на https или правилом в конфигурации; - старая версия виртуальной машины: процедуру автопродления в своё время чинили, и на устаревших сборках она работает не всегда;
- кончилось место на диске.
Свой сертификат
От удостоверяющего центра приходят три файла: certificate.key, certificate.crt и certificate.ca-bundle. Их кладут в /etc/nginx/certs (каталог может отсутствовать — тогда создайте его), после чего указывают в том же пункте меню.
Платный ставится тем же пунктом меню: нужны файл сертификата, приватный ключ и цепочка промежуточных. Без цепочки сайт откроется в браузере, но будет ругаться в мобильных приложениях и при обращениях по API — самая частая ошибка ручной установки.
Несколько доменов и алиасы на одном сайте
Сертификат выпускается не на сервер и не на один адрес: в нём перечисляются все имена, по которым сайт открывается. Указывать нужно сразу всё — основной домен, вариант с www, алиасы вроде старого домена компании, поддомены, если они ведут на тот же сайт.
В виртуальной машине список хранится строкой: все имена одного сайта идут через пробел и получают общий сертификат. На нашем сервере, например, это overplan.ru www.overplan.ru. Добавили алиас — перевыпустите сертификат, иначе на новом имени посетитель получит предупреждение о несоответствии.
Ограничение, о которое спотыкаются: каждое имя проходит проверку отдельно. Если один из алиасов не указывает на этот сервер, выпуск не пройдёт целиком — вместе с рабочими доменами.
Сертификат на IP-адрес, без домена
Случай для коробочного портала во внутренней сети: домена нет, обращаются по адресу вида https://192.0.2.10. Раньше ответ был коротким — бесплатный сертификат на IP получить нельзя.
С января 2026 года Let's Encrypt такие сертификаты выдаёт, для IPv4 и IPv6. Но с условием: только по короткоживущему профилю со сроком 160 часов, чуть больше шести дней. Профиль выбирается явно, и клиент должен его поддерживать — штатная утилита виртуальной машины Битрикса этого не умеет.
Поэтому на практике вариантов по-прежнему два. Завести домен, пусть даже технический, и выпустить обычный сертификат на 90 дней — это проще всего. Либо поставить самоподписанный и раздать его корневой сертификат на рабочие места: для портала, который не выходит в интернет, этого достаточно, но браузеры без установленного корня будут ругаться.
Если сертификат отозван или аннулирован
Отзыв и аннулирование — одно и то же: удостоверяющий центр объявляет сертификат недействительным до конца срока, и браузеры начинают показывать предупреждение. Причины бывают разные: утечка приватного ключа, ошибка при выпуске, закрытие центра, а в 2022 году российские сайты столкнулись с массовым отзывом со стороны западных центров — об этом отдельный разбор.
Сообщение «один из сертификатов цепочки аннулирован» указывает на промежуточный сертификат удостоверяющего центра: ваш собственный тут ни при чём. Выпуск нового у того же центра тут не поможет — нужна свежая цепочка, а иногда и смена удостоверяющего центра.
- Выпустите новый — через меню это минуты.
- Если причина в утечке ключа, не переиспользуйте старый ключ и проверьте, откуда он мог утечь: резервные копии в открытом доступе, передача по почте, доступ подрядчиков.
- Проверьте всё, что ходит к сайту по API: обмены с 1С, мобильные приложения, интеграции.
Как проверить, что сертификат жив
Срок действия и список имён смотрят прямо с сервера:
openssl x509 -in /home/bitrix/dehydrated/certs/<домен>/fullchain.pem -noout -dates -subject
openssl s_client -connect example.ru:443 -servername example.ru < /dev/null 2>/dev/null | openssl x509 -noout -dates -issuerПервая команда показывает, что лежит на диске, вторая — что сервер реально отдаёт браузеру. Расхождение между ними означает, что nginx не перечитал конфигурацию после обновления.
Отдельно проверяйте цепочку: она должна приходить целиком. Браузер на компьютере часто достраивает недостающее звено сам, а мобильное приложение и обмен по API — нет, поэтому «в браузере всё хорошо, а 1С не подключается» чаще всего означает именно неполную цепочку.
Что проверить после любых изменений
После любых изменений откройте сайт и посмотрите срок действия и список доменов в сертификате. Отдельно проверьте адрес с www и без, а если сайтов в пуле несколько — каждый: сертификат выпускается на сайт, а не на сервер целиком.
Статья была полезна?
