SSL сертификат с Let's Encrypt: 90 дни днес, 45 дни от 2028 г.

01Какво всъщност прави сертификатът

SSL сертификатът (по-точното име днес е TLS сертификат) позволява на браузъра да отвори сайта през https://: връзката е шифрована и посетителят знае, че говори с правилния сървър. Сертификатите на Let's Encrypt са от вида DV (domain validation): издателят проверява само, че контролирате домейна – например като сървърът ви покаже определен файл или като добавите запис в DNS.

Let's Encrypt не взима такса за сертификатите си. Поддържа и wildcard сертификати (*.example.bg), но за тях проверката задължително минава през DNS (методът DNS-01). Според въпросите и отговорите на Let's Encrypt някои компании, които вграждат сертификатите в услугата си, например хостинги, могат да взимат малка такса за обслужването.

02Сроковете: 90, после 64, после 45 дни

Днес сертификатите по подразбиране важат 90 дни и Let's Encrypt съветва да ги подновявате на около 60-ия ден. Има и краткосрочни сертификати за 6 дни, които се избират изрично. Самият срок не може да се настройва. През декември 2025 г. Let's Encrypt обяви, че ще го съкрати наполовина по следния график:

Промяната засяга новоиздадените сертификати, така че по-краткия срок ще видите при първото подновяване след съответната дата. Let's Encrypt изрично предупреждава, че фиксирано подновяване на всеки 60 дни вече няма да стига, и не препоръчва ръчно подновяване, защото ще се налага все по-често.

03На споделен хостинг: проверете, че подновяването е автоматично

При споделения хостинг сертификатът обикновено се издава и подновява от контролния панел. Тогава по-краткият срок не ви засяга – панелът просто ще подновява по-често. Ето какво пише за SSL на страниците с плановете, които следим (проверено на 04.11.2026):

Когато страницата не назовава Let's Encrypt, попитайте поддръжката дали има безплатен сертификат и дали се подновява сам. Цените и останалите условия са в сравнението на плановете.

04На собствен сървър: certbot, таймер и ARI

Ако сами управлявате VPS, най-често ползвате certbot. Повечето инсталации сами добавят задача, която пуска certbot renew периодично – проверете с systemctl list-timers или в /etc/crontab. Командата certbot certificates показва сертификатите и датата им на изтичане, а certbot renew --dry-run пробва подновяването, без да променя нищо.

• От версия 4.0.0 certbot подновява, когато остане по-малко от една трета от срока, вместо при фиксирани 30 дни. При 45-дневен сертификат това прави около 15 дни преди изтичане (наше изчисление).
• Let's Encrypt препоръчва ARI (ACME Renewal Information, RFC 9773): сървърът на издателя сам подсказва на клиента кога да поднови. Дали и как се включва, зависи от вашия ACME клиент.
• Ако клиентът ви не поддържа ARI, подновявайте на около две трети от срока, а не по фиксиран календар.
• Сложете наблюдение, което ви предупреждава, ако подновяването не стане навреме.

05Платени сертификати: DV, OV и EV с прости думи

Платеният DV сертификат потвърждава същото като безплатния – контрол над домейна. При OV (organization validation) издателят проверява и организацията, а при EV (extended validation) проверката е още по-подробна. Let's Encrypt заявява, че няма планове да издава OV или EV. Видът проверка показва какво е проверил издателят, а не колко силно е шифроването, затова платен сертификат има смисъл главно когато партньор, договор или вътрешно правило изисква проверена организация.

Има и обща промяна за всички издатели. CA/Browser Forum, който определя правилата за публичните сертификати, прие през 2025 г. максималният срок на TLS сертификатите да падне постепенно от 398 на 47 дни между март 2026 и март 2029 г. Значи и платеният сертификат ще се сменя по-често и автоматизацията ще ви трябва и при него.

06Как да проверите кога изтича сертификатът

Въведете домейна в проверката на SSL и вижте срока и имената, за които важи сертификатът. Проверете поотделно example.bg и www.example.bg: ако едно от имената не е в сертификата, браузърът показва грешка на този адрес.

При 90-дневен сертификат и подновяване на около 60-ия ден в нормален случай остават поне около 30 дни. Ако виждате само няколко дни до края, подновяването вероятно не работи – пишете на хостинга или проверете таймера на сървъра.

07CAA запис: кой има право да издава сертификат

CAA е DNS запис, с който казвате кои издатели могат да издават сертификати за домейна ви. Ако няма CAA запис, всеки публичен издател може да издаде сертификат, стига да провери контрола над домейна. Запис, който разрешава само Let's Encrypt, изглежда така:

• example.bg. CAA 0 issue "letsencrypt.org"
• С параметъра accounturi ограничавате издаването до един ACME акаунт, а с validationmethods – до избрани методи на проверка (http-01, dns-01, tls-alpn-01).

Внимание: ако сертификатът се издава от друга услуга, например Cloudflare или Netlify, нейният издател също трябва да е разрешен, иначе подновяването ще спре. Cloudflare изрично предупреждава, че CAA записите могат да блокират сертификата за собствен домейн в Pages. Текущите си записи вижте с DNS проверката.

?Чести въпроси