Установка и продление

После выпуска сертификата необходимо установить его на веб-сервере или в CDN и продлить до истечения срока действия. На этой странице описаны раздел «Мои сертификаты», получение файлов сертификата и распространённые способы установки.

#Страница «Мои сертификаты»

Откройте SSL-сертификаты → Мои сертификаты (/ssl/certificates). В списке доступны следующие столбцы:

В разделе Подробнее отображаются основной домен, имена SAN, центр сертификации, серийный номер, даты выпуска и истечения срока действия, а также отпечаток SHA-256.

#Получение файлов сертификата

• Скачать в списке: появляется после выпуска сертификата и скачивает сам сертификат как <domain>.crt (PEM).
• Полный комплект: сертификат, закрытый ключ и цепочку промежуточных сертификатов центра сертификации можно получить одним вызовом API (только для активных сертификатов):

curl -X POST https://api.yeap.cloud/api/user/ssl/orders/download \
  -H "Authorization: Bearer <token>" -H "Content-Type: application/json" \
  -d '{"order_id": 123}'

Поля ответа certificate, ca_bundle и private_key содержат сертификат, цепочку промежуточных сертификатов центра сертификации и закрытый ключ в формате PEM. Для выпущенных заказов на странице сведений о заказе /ssl/order/<order_id> также есть кнопка Скачать сертификат, которая сохраняет <domain>.crt, <domain>.key и <domain>-ca-bundle.crt.

#Установка на веб-сервере

Большинству серверов нужна полная цепочка: сначала ваш сертификат, затем промежуточные сертификаты центра сертификации. Объедините их командой:

cat example.com.crt example.com-ca-bundle.crt > example.com.fullchain.pem

Если у вас нет промежуточных сертификатов, инструмент дополнения цепочки в разделе Инструменты SSL поможет сформировать полную цепочку.

#Nginx

server {
    listen 443 ssl;
    http2 on;
    server_name example.com;

    ssl_certificate     /etc/ssl/example.com.fullchain.pem;
    ssl_certificate_key /etc/ssl/example.com.key;
    ssl_protocols       TLSv1.2 TLSv1.3;
}

Выполните nginx -t, чтобы проверить конфигурацию, затем nginx -s reload.

#Apache

<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLCertificateFile    /etc/ssl/example.com.fullchain.pem
    SSLCertificateKeyFile /etc/ssl/example.com.key
</VirtualHost>

Apache 2.4.8 и более поздних версий поддерживает файл полной цепочки в SSLCertificateFile.

#PFX/PKCS#12 (IIS, Tomcat и другие)

Файлы предоставляются в формате PEM. Преобразуйте их локально с помощью OpenSSL:

openssl pkcs12 -export -out example.com.pfx \
  -inkey example.com.key -in example.com.crt -certfile example.com-ca-bundle.crt

#Установка в Yeap Cloud CDN

Если сайт размещён в Yeap Cloud CDN, загрузите сертификат и закрытый ключ (PEM) для имени хоста на странице настроек SSL домена CDN (/cdn/domains/<domain>/ssl). CDN также может автоматически выпускать и продлевать бесплатные сертификаты для ваших имён хостов; см. документацию CDN.

#Проверка установки

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates

Также можно вставить сертификат, отдаваемый сервером, в декодер сертификатов в разделе Инструменты SSL, чтобы проверить срок действия и имена SAN. Если сервер сообщает о несоответствии ключа, используйте инструмент проверки соответствия ключа, чтобы убедиться, что сертификат и ключ относятся друг к другу.

#Продление

Сертификаты необходимо продлевать до истечения срока действия. Сертификаты DV (Let's Encrypt, ZeroSSL) действуют 90 дней; платные сертификаты OV/EV обычно действуют один год. В списке сертификаты помечаются как скоро истекающие за 30 дней до окончания срока действия.

В разделе Мои сертификаты для активных и истёкших сертификатов отображается кнопка Продлить. Подтвердите действие, и будет создан заказ на продление, связанный с исходным заказом ("Заказ на продление создан"):

• Бесплатные сертификаты DV: заказ на продление не требует оплаты. Отправьте домен и снова пройдите проверку, как описано в разделе Заказ и проверка сертификата.
• Платные сертификаты: для продолжения заказ на продление необходимо оплатить. Свяжитесь с нами, если нужна помощь с платным продлением, или купите новый сертификат в каталоге взамен старого.

Продление также можно запустить через API:

curl -X POST https://api.yeap.cloud/api/user/ssl/certificates/renew \
  -H "Authorization: Bearer <token>" -H "Content-Type: application/json" \
  -d '{"order_id": 123}'

После выпуска продлённого сертификата замените старые файлы на сервере и перезагрузите службу.

#Загрузка существующего сертификата

Если вы приобрели сертификат в другом центре сертификации, нажмите Загрузить сертификат и укажите основной домен, сертификат (PEM), закрытый ключ (PEM) и при необходимости цепочку сертификатов центра сертификации. Он будет храниться в разделе «Мои сертификаты» вместе с остальными сертификатами. Платформа проверяет формат и автоматически считывает центр сертификации и дату истечения срока действия.

#Удаление сертификата

Нажмите Удалить и подтвердите действие. Удаление нельзя отменить. Загруженные сертификаты можно удалить в любой момент; приобретённые сертификаты нельзя удалить, пока они активны.

#Перевыпуск и отзыв

Если закрытый ключ скомпрометирован, необходимо изменить домен или отозвать сертификат, свяжитесь с нами и укажите ID заказа — мы решим вопрос с центром сертификации.