SSL-сертифікат: повний гайд для власників сайтів у 2026 році

SSL-сертифікат сьогодні — базовий елемент будь-якого сайту, який працює з відвідувачами. Без нього браузери показують попередження, пошукові системи знижують позиції, а користувачі просто йдуть. Водночас термін «SSL» уже давно не відповідає реальності: сучасні з’єднання працюють на протоколі TLS, а самі сертифікати стали короткоживучими.

У 2026 році максимальний термін дії публічних сертифікатів скоротився до 200 днів. Це змінило підхід до їх отримання, оновлення та моніторингу. Стаття розбирає механізм роботи, типи, актуальні зміни, типові помилки та практичні сценарії, щоб ви могли самостійно або з мінімальною допомогою налаштувати захист і не втрачати трафік.

Матеріал орієнтований і на власників невеликих сайтів, і на тих, хто керує кількома доменами чи піддоменами. Усі дані перевірені за станом на серпень 2026 року.

Що насправді означає SSL-сертифікат у 2026 році

SSL (Secure Sockets Layer) — застарілий протокол, який розробляли ще в 1990-х. Його повністю замінив TLS (Transport Layer Security). Проте в повсякденній мові, у панелях хостингів і навіть у маркетингу майже всі продовжують говорити «SSL-сертифікат». Це зручно, але важливо розуміти: ви купуєте або отримуєте саме TLS-сертифікат.

Сертифікат — це цифровий файл, який містить публічний ключ сайту, інформацію про власника (або принаймні про домен), дані центру сертифікації (CA) і цифровий підпис. Він підтверджує дві речі: що сервер, до якого підключається браузер, справді належить заявленому домену, і що з’єднання можна зашифрувати.

Без сертифіката сайт працює за HTTP. Дані передаються відкритим текстом. З сертифікатом з’являється HTTPS, і браузер показує індикатор захищеного з’єднання (залежно від браузера — замочок, іконку налаштувань або просто відсутність попередження «Небезпечно»).

Важливий нюанс 2026 року: майже всі фішингові сайти теж мають валідний сертифікат. Замочок більше не означає «сайт безпечний і чесний». Він означає лише «з’єднання зашифроване і домен підтверджений». Перевірка URL і здоровий глузд залишаються обов’язковими.

Як працює захищене з’єднання: механізм TLS

Коли ви відкриваєте сайт з HTTPS, відбувається TLS-handshake — короткий діалог між браузером і сервером. Він триває частки секунди, але саме від нього залежить, чи з’явиться захищене з’єднання.

Спочатку браузер надсилає повідомлення Client Hello зі списком підтримуваних версій протоколу (сьогодні переважно TLS 1.3) і набором шифрів. Сервер відповідає своїм Server Hello і відправляє сертифікат. Браузер перевіряє:

чи підписаний сертифікат довіреним кореневим центром з його сховища;
чи не закінчився термін дії;
чи збігається ім’я домену в сертифікаті з адресою, яку ви ввели;
чи не відкликаний сертифікат (через OCSP або CRL).

Якщо все гаразд, сторони узгоджують тимчасовий симетричний ключ сесії. Для цього використовується асиметрична криптографія (публічний ключ із сертифіката). Далі весь трафік шифрується вже симетричним алгоритмом — це значно швидше.

У TLS 1.3 handshake став коротшим і безпечнішим порівняно з попередніми версіями. Старі протоколи (SSL 3.0, TLS 1.0, 1.1) браузери вже давно не підтримують. Якщо сервер пропонує лише їх — з’єднання просто не встановиться.

З практики: багато проблем виникають саме на етапі перевірки ланцюжка сертифікатів. Якщо на сервері відсутній проміжний сертифікат (intermediate), браузер може показати помилку навіть при валідному кінцевому сертифікаті. Саме тому після встановлення завжди варто перевіряти сайт через SSL Labs або подібні сервіси.

Типи сертифікатів: коли який обирати

Сертифікати класифікують за двома основними параметрами: рівнем перевірки власника та кількістю доменів, які вони покривають.

За рівнем валідації:

DV (Domain Validation) — перевіряється лише контроль над доменом (через DNS-запис, файл на сервері або email). Видається за хвилини. Підходить для блогів, лендінгів, невеликих корпоративних сайтів.
OV (Organization Validation) — додатково перевіряється юридична особа. У сертифікаті з’являється назва компанії. Корисно для інтернет-магазинів і сайтів, де потрібна додаткова довіра.
EV (Extended Validation) — найглибша перевірка. Раніше показувала зелений рядок з назвою компанії. Сьогодні браузери майже не виділяють EV візуально, тож його практична цінність для більшості сайтів знизилася.

За охопленням доменів:

Single-domain — один домен (часто з www і без).
Wildcard — покриває всі піддомени одного рівня (*.example.com).
Multi-Domain (SAN) — кілька різних доменів в одному сертифікаті.

Тип	Рівень перевірки	Час видачі	Кому підходить	Орієнтовна ціна (рік)
DV	Тільки домен	Хвилини–години	Блоги, візитки, тестові сайти	Безкоштовно або від 200 грн
OV	Домен + організація	1–3 дні	Бізнес-сайти, інтернет-магазини	Від 1500–4000 грн
EV	Максимальна	3–7 днів	Банки, великі фінтех-проекти	Від 8000 грн
Wildcard DV	Тільки домен	Хвилини	Сайти з багатьма піддоменами	Від 800–2500 грн

Джерело даних: усереднені ціни українських і міжнародних постачальників станом на 2026 рік.

Для більшості сайтів у 2026 році достатньо DV або Wildcard DV. EV майже втратив візуальну перевагу, а OV має сенс, коли в сертифікаті важливо показати юридичну назву компанії.

Зміни 2026 року: чому сертифікати стали короткоживучими

З 15 березня 2026 року максимальна дозволена тривалість дії публічних TLS-сертифікатів становить 200 днів (фактично центри видають близько 198 днів). Раніше ліміт був 398 днів. Це рішення CA/Browser Forum.

Далі заплановано ще два кроки: з березня 2027 року — максимум 100 днів, з березня 2029 — 47 днів. Мета — зменшити вікно можливостей для зловмисників, якщо приватний ключ або сертифікат скомпрометовано.

Наслідки для власників сайтів очевидні. Ручне оновлення раз на рік більше не працює. Потрібна автоматизація. Протокол ACME (той самий, який використовує Let’s Encrypt) став практично обов’язковим інструментом. Більшість сучасних хостингів і панелей керування вже мають вбудовану підтримку автоматичного поновлення.

Якщо у вас кілька серверів або складний стек (CDN + origin, кілька веб-серверів), варто заздалегідь налаштувати централізоване управління сертифікатами. Інакше ризик простою через прострочений сертифікат суттєво зростає.

Як отримати і встановити SSL-сертифікат

Найпростіший шлях для більшості — безкоштовний сертифікат від Let’s Encrypt. Він видається на 90 днів і автоматично поновлюється, якщо налаштовано ACME-клієнт (certbot, acme.sh або вбудовані рішення хостингу).

Кроки загальні:

Переконайтеся, що домен уже вказує на ваш сервер (A-запис або CNAME).
Згенеруйте CSR (Certificate Signing Request) на сервері або через панель хостингу. При цьому створюється пара ключів — публічний і приватний.
Підтвердіть контроль над доменом (HTTP-файл, DNS-запис або email).
Отримайте сертифікат і встановіть його разом із проміжними сертифікатами.
Налаштуйте редірект з HTTP на HTTPS і увімкніть HSTS (за бажанням).

На популярних панелях (cPanel, ISPmanager, Plesk) процес займає кілька кліків. На VPS доводиться працювати з Nginx/Apache конфігами або використовувати certbot.

Платні сертифікати купують у локальних постачальників (ssl.com.ua, Hostpro тощо) або безпосередньо в CA (Sectigo, DigiCert, GlobalSign). Перевага платних — довша підтримка, гарантії, можливість Wildcard/OV/EV і іноді простіше встановлення через панель.

Після встановлення обов’язково перевірте:

чи правильно відпрацьовує редірект;
чи немає mixed content (коли частина ресурсів підвантажується по HTTP);
оцінку на SSL Labs (бажано A або A+).

Найпоширеніші помилки та як їх виправити

Навіть після успішного встановлення сертифіката сайт може показувати попередження. Ось найчастіші причини.

Прострочений сертифікат. Браузер блокує з’єднання. Рішення — негайне поновлення. Якщо використовуєте Let’s Encrypt, перевірте, чи працює автоматичне оновлення (cron або systemd timer).

Невідповідність імені (name mismatch). Сертифікат видано на example.com, а користувач зайшов на www.example.com (або навпаки). Вирішується додаванням обох імен у SAN або окремим Wildcard.

Неповний ланцюжок. Відсутній проміжний сертифікат. Браузер не може побудувати ланцюжок довіри до кореневого CA. Потрібно встановити повний бандл (certificate + intermediates).

Mixed content. Сторінка відкривається по HTTPS, але зображення, скрипти або стилі підвантажуються по HTTP. Браузер показує попередження або блокує ресурси. Виправляється заміною всіх внутрішніх посилань на відносні або HTTPS.

Самопідписаний сертифікат. Підходить тільки для внутрішніх тестів. Браузери його не довіряють і показують серйозне попередження.

Відкликаний сертифікат. Рідко, але трапляється. Потрібен новий випуск.

У реальних кейсах найчастіше «ламається» саме mixed content після переходу на HTTPS і автоматичне поновлення на VPS, де забули налаштувати cron.

Коли варто звернутися до фахівця

Самостійно можна впоратися з простим DV-сертифікатом на спільному хостингу. Варто залучати спеціаліста, якщо:

у вас кілька серверів, балансувальники або Kubernetes;
потрібен Wildcard або Multi-Domain з OV/EV;
сайт працює за складним CDN + origin сценарієм;
після встановлення залишаються помилки, які не вдається швидко діагностувати;
потрібна інтеграція з внутрішньою PKI або клієнтськими сертифікатами.

Після будь-яких змін з сертифікатом варто зробити контрольну перевірку через SSL Labs, перевірити логи веб-сервера і переконатися, що всі критичні сторінки (оплата, особистий кабінет, форми) відкриваються без попереджень.

Ключові інсайти

SSL-сертифікат у 2026 році — це вже не «додаткова опція», а обов’язкова умова нормальної роботи сайту. Коротший термін дії змушує переходити на автоматизацію. Для більшості проектів достатньо безкоштовного DV від Let’s Encrypt з правильно налаштованим поновленням. Платні рішення мають сенс, коли потрібна юридична валідація організації або покриття багатьох доменів одним файлом.

Головне — не обмежуватися самим фактом наявності сертифіката. Перевіряйте ланцюжок, mixed content, редіректи і регулярно моніторте дату закінчення. Саме системний підхід, а не разове встановлення, забезпечує стабільну роботу захищеного сайту.

Кількість переглядів: 1