Сертифікати і TLS

Типи сертифікатів

DV — валідація домену (Let's Encrypt, безкоштовно, 90 днів). OV — + організація. EV — розширена перевірка (дорого, рідко виправдано). Wildcard — *.domain для піддоменів.

Життєвий цикл

З 2025 максимальний строк сертифіката — 398 днів, тренд до 90 днів (Let's Encrypt вже так). Автопоновлення обов'язкове: certbot, acme.sh, cert-manager у k8s.

Ланцюг довіри

Leaf → intermediate → root CA. Типова помилка: «certificate chain incomplete» — сервер віддає лише leaf. Додайте fullchain.pem. Перевірка: openssl s_client -connect host:443 -servername host.

Версії протоколу

TLS 1.0/1.1 — заборонено (PCI DSS, браузери). TLS 1.2 — мінімум сьогодні. TLS 1.3 — швидше (1-RTT), безпечніше, без застарілих шифрів. Вимикайте SSLv3, RC4, DES, 3DES.

mTLS

Взаємна автентифікація: клієнт теж пред'являє сертифікат. Використовується для service-to-service (service mesh Istio/Linkerd), API-партнерів, VPN.

Моніторинг

Алерт за 14–30 днів до спливу: cron з openssl x509 -enddate, або монітори (UptimeRobot, Prometheus blackbox_exporter). Прострочений серт = падіння сервісу.

Про сертифікати TLS — типи, строки, моніторинг

Сертифікати TLS — типи, строки, моніторинг — DV/OV/EV, wildcard, ланцюг довіри, TLS 1.2/1.3, mTLS і алерти на сплин — довідник з сертифікатів.. IT інструменти: TLS, API-доки, довідник. Використовуйте наші інструменти без реєстрації та встановлення програм. Усі обчислення відбуваються у вашому браузері — ваші дані не передаються на сервер.