Бесплатный SSL от Let's Encrypt: как установить, плюсы и минусы, сравнение с платными сертификатами

Введение: как Let’s Encrypt изменил ландшафт веб-безопасности

До 2016 года HTTPS был привилегией корпораций. Стоимость SSL-сертификатов начиналась от $50 в год, а их установка требовала технических навыков. Let’s Encrypt, созданный некоммерческим Internet Security Research Group (ISRG), демократизировал шифрование: сегодня его сертификаты защищают 63% сайтов с HTTPS. Но за «бесплатно» всегда стоит компромисс. В этой статье мы разберем не только очевидные плюсы и минусы, но и подводные камни, о которых молчат многие.

Let’s Encrypt построен на протоколе ACME, который заменяет ручные проверки автоматизированными сценариями. Когда вы запрашиваете сертификат, система проверяет владение доменом через:

• HTTP-файл: сервис создает временный файл по адресу http://ваш-сайт/.well-known/acme-challenge/.
• DNS-запись: добавляет TXT-запись с уникальным токеном в настройки домена.

Этот подход позволяет выпускать сертификаты за 2-3 минуты, но накладывает ограничения. Например, для одного домена нельзя запросить более 5 сертификатов в неделю — защита от злоупотреблений.

Срок действия (90 дней) — не недостаток, а осознанный выбор. Короткий период снижает риски утечки ключей. Обновление через Certbot или встроенные инструменты хостингов (например, «SSL For Free» в cPanel) происходит в фоне, но требует точной настройки cron-задач.

Преимущества: больше, чем просто экономия

Wildcard-сертификаты для сложных проектов

С 2018 года Let’s Encrypt поддерживает защиту всех поддоменов через один сертификат. Для разработчиков, работающих с микросервисной архитектурой, это спасение. Пример: у вас есть blog.site.com, shop.site.com, api.site.com — вместо покупки 3 отдельных сертификатов вы получаете один с параметром *.site.com.

Совместимость с современными стандартами

Сертификаты используют алгоритм SHA-256 и поддерживают TLS 1.3 — протокол, где рукопожатие происходит за 1 шаг вместо 3. Это не только безопаснее, но и быстрее: время загрузки страницы сокращается на 100-300 мс.

Экосистема интеграций

Панели управления (cPanel, Plesk), облачные платформы (Cloudflare, AWS) и даже IoT-устройства (например, Raspberry Pi) имеют встроенные инструменты для работы с Let’s Encrypt. Для WordPress есть плагины вроде Really Simple SSL, которые автоматически перенастраивают ссылки на HTTPS.

Недостатки: когда «бесплатно» становится дорого

Отсутствие страховки

Платные сертификаты вроде Symantec или Comodo включают гарантии возмещения ущерба (до $1.75 млн). Let’s Encrypt такой опции не предлагает. Если из-за просроченного сертификата ваш интернет-магазин простаивает сутки, компенсации не будет.

Ограниченная валидация

DV-сертификаты (Domain Validation) подтверждают только владение доменом. Злоумышленник может получить SSL для paypa1.com (с цифрой 1 вместо l) и создать фишинговый сайт. Платные OV/EV-сертификаты требуют проверки юридического лица, что исключает подобные схемы.

Проблемы с legacy-системами

Хотя 94% браузеров поддерживают Let’s Encrypt, остаются нишевые случаи:

• Устройства на Windows XP SP2;
• Старые версии Android (ниже 7.0);
• Некоторые корпоративные сети с кастомными SSL-политиками.

Практическое руководство: установка для разных сценариев

Случай 1: Хостинг REG.RU (ISPmanager)

Для клиентов REG.RU с панелью ISPmanager процесс займет 4 шага:

• Войдите в панель управления → раздел «SSL-сертификаты».
• Нажмите «Заказать сертификат» → выберите «Let’s Encrypt».
• Укажите домен и отметьте опцию «Автоматическое продление».
• После выпуска (2-5 минут) активируйте сертификат в разделе «Виртуальные хосты».

⚠️ Важно: Для поддоменов в REG.RU нужно выпускать отдельные сертификаты — wildcard не поддерживается в базовом тарифе. Проверьте работу HTTPS через Why No Padlock?.

Случай 2: Облачный хостинг Selectel

Для Docker-контейнеров в Selectel Cloud используйте Certbot с DNS-провайдером:

# Для одного домена
docker run -it --rm \
  -v "/etc/letsencrypt:/etc/letsencrypt" \
  certbot/dns-selectel certonly \
  --dns-selectel-credentials /path/to/selectel.ini \
  -d example.com

# Конфиг selectel.ini
dns_selectel_api_key = ваш_api_ключ
dns_selectel_project_id = ваш_project_id

Для Kubernetes-кластера добавьте в Helm-чарт:

issuers:
  - name: letsencrypt-prod
    server: https://acme-v02.api.letsencrypt.org/directory
    selector:
      dnsNames:
        - "*.selectel.ru"
    dns01:
      providers:
        - name: selectel-dns
          selectel:
            API_KEY: ${SELECTEL_API_KEY}

Случай 3: VPS с Nginx

• Установите Certbot:

$ sudo apt install certbot python3-certbot-nginx # Вариант №1 
$ sudo snap install --classic certbot  # Вариант №2 для Ubuntu Linux 

• Запустите мастер:

sudo certbot --nginx -d example.com -d www.example.com  

• Добавьте автообновление в cron (если устанавливали не через snap):

echo "0 0 */60 * * certbot renew" | sudo tee -a /etc/crontab  

Случай 3: WordPress + Cloudflare

• Включите «SSL/TLS» → «Full (strict)» в настройках Cloudflare.
• Установите плагин SSL Zen → активируйте сертификат.
• Используйте «Force HTTPS Redirect» в .htaccess:

RewriteEngine On  
RewriteCond %{HTTPS} off  
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]  

Когда платить:

• EV-сертификаты: для банков, государственных порталов — зеленая строка в адресной строке повышает доверие.
• Мультидоменные пакеты: если нужно защитить 10+ независимых доменов.
• Специализированные решения: например, сертификаты для подписи кода.

Команда из 5 человек запустила платформу с 120 поддоменами для курсов. Использование wildcard-сертификатов Let’s Encrypt сэкономило $6,000/год. Автообновление через Ansible устранило простои из-за просроченных SSL.

Ресурс с 200,000 посетителей в месяц столкнулся с ошибкой «Mixed Content» после перехода на HTTPS. Решение: плагин Better Search Replace для массового изменения HTTP→HTTPS в базе данных WordPress.

Проверьте:

• Все внутренние ссылки (включая изображения, CSS/JS) используют HTTPS.
• В файле robots.txt нет директив, блокирующих сканирование HTTPS.
• Настроен 301-редирект с HTTP на HTTPS.

Да, но потребуется:

• Установить Certbot на сервер.
• Выпустить сертификат для домена (например, mail.example.com).
• Настроить Postfix/Dovecot на использование SSL-ключей.

Let’s Encrypt — идеальный выбор для личных блогов, стартапов и тестовых сред. Но для проектов, где критична репутация (онлайн-банкинг, медицинские порталы), стоит доплатить за OV/EV-сертификаты. Главное — не воспринимать «бесплатно» как синоним «ненадежно». При правильной настройке Let’s Encrypt обеспечивает тот же уровень шифрования, что и решения за $500/год.

Вы можете ознакомиться с нашей статьей, где описали руководство по настройке Let’s Encrypt SSL сертификатов на VPS.