• Записи 1572
  • Теги 117
  • Комментарии 3348

Лог жизни

Еще один повод не любить https

Всегда считал, что https (точнее, если выражаться технически грамотно, SSL-сертификаты) нужен только достаточно узкой группе сайтов: магазинам, банкам и сайтам, работающим с критичными личными данными, типа Госуслуг/Мосуслуг. И еще, может быть, крупным почтовым службам типа GMail. А остальным от них только вред из-за замедления работы и напрасного расхода ресурсов процессора на шифрование данных. Но увы, разработчики брозуеров считают иначе, и поддержку протокола HTTP/2 сделали только для сайтов с https. Из-за этого я в прошлом году заказал для socionics.me бесплатный сертификат и установил его на сервер. Все было хорошо (даже скорость загрузки сайта упала не сильно), но сегодня закончился срок его действия. Ночью я пытался заказать его обновление, но не дождался, и решил, что поставлю днем, когда приеду на дачу. Увы, не учел, что срок окончания сертификата указывается с точностью до секунды, и где-то в районе 17 часов пришло уведомление, что все, срок действия кончился, а сайт стал открываться только после предупреждения о недействительном сертификате.
Я загрузил то, что пришло в ответ на ночной запрос, но ничего не изменилось. Не сразу понял, в чем причина. Писалось, что сертификат выпущен в 4:23 28 апреля, но срок его действия закончился в 17:13 этого же дня. Только потом выяснилось, что перевыпуск и продление — это разные действия. Причем продление — только платное и довольно дорогое (почти как полгода хостинга). Продлевать все же пришлось, но не обошлось без проблем: в процессе я сначала напутал с DNS-записью для подтверждения домена (и два часа не мог понять, почему сертификат не идет, пока не решил перепроверить), а потом потерял закрытый ключ и пришлось делать перевыпуск еще раз. В итоге сайт возобновил работу только около 22 часов…

5 комментариев:

S0m3Th1nG_AwFul!
0
что перевыпуск и продление — это разные действия. Причем продление — только платное и довольно дорогое (почти как полгода хостинга). Продлевать все же пришлось

Чем Letsencrypt.org не вариант?
4X_Pro
0

Скорее всего банальным нежеланием менять центр сертификации… (Кстати, не вызывает ли это каких-либо глюков?) Хотя, пожалуй, стоит подумать над этим в следующем году.
А еще у let's encrypt были проблемы с совместимостью с Яндекс.Кассой (точнее, это у всех сертификатов со SNI так было, как сейчас — не знаю). Впрочем, для меня это пока не особо актуально: вряд ли социосеть будет приносить доход в ближайшее время…

S0m3Th1nG_AwFul!
0
(Кстати, не вызывает ли это каких-либо глюков?)

А какие должно по твоему мнению? Разные центры сертификации, если что, никак не связаны между собой и не обмениваются между собой никакими данными.
4X_Pro
0

Скорее я опасался чего-нибудь типа броузер кеширует сертификаты для сайта, и если центр сертификации поменялся, начинает выдавать предупреждения в духе «возможно это не тот сайт, на котором вы были раньше» (аналогично тому, как это сделано в ssh).

S0m3Th1nG_AwFul!
0

Ну это уже было бы слишком, мало ли по какой причине тебе пришлось сменить ЦС? От банальной экономии средств до перехода такового в эдакий статус "опущенных", как это случилось с WoSign/StartSSL, и сейчас частично происходит с ЦСами от Symantic (начало этой истории, по всей видимости, тянется ещё с одного инцидента в 2015 году).

Написать комментарий
Прикрепить файлы: (не более 4 файлов, не более 102400 Кб каждый, 102400 Кб всего)


Задать вопрос