Як встановити SSL-сертифікат у DirectAdmin

Якщо вам потрібне пояснення, навіщо взагалі HTTPS і що таке змішаний контент, почніть зі статті навіщо сайту SSL-сертифікат. Тут — практична частина: що саме натискати в панелі і як діагностувати, коли щось пішло не так.

Перед випуском: три перевірки за дві хвилини

Let's Encrypt видає сертифікат лише після того, як переконається, що домен справді веде на ваш сервер. Він звертається до сайту ззовні й шукає службовий файл. Якщо запит потрапляє не туди, випуск зупиняється з помилкою. Тож спершу перевірте:

• A-запис домену і www вказує на IP сервера з листа про активацію. Швидко перевірити можна командою nslookup example.com або будь-яким онлайн-сервісом перевірки DNS. Як налаштувати записи — у статті як спрямувати домен на хостинг.
• Немає «забутого» AAAA-запису. Якщо в DNS лишилася IPv6-адреса старого хостингу, центр сертифікації може піти саме туди — і перевірка провалиться, хоча в браузері сайт відкривається нормально. Непотрібний AAAA краще видалити.
• CAA-записи, якщо вони є, дозволяють letsencrypt.org. CAA — це список центрів, яким дозволено видавати сертифікати на домен. Трапляється після переносу від провайдера, який продавав свої сертифікати.

Щойно змінили DNS? Дайте записам розійтися. Якщо запускати випуск раз за разом на неготовий домен, Let's Encrypt після кількох невдач поспіль тимчасово припиняє приймати запити для цього імені — і доведеться чекати ще годину.

Крок 1. Увімкнути SSL для домену

У DirectAdmin підтримка HTTPS вмикається окремо для кожного домену. На новому акаунті вона зазвичай уже активна, але перевірити варто:

1. Відкрийте Account Manager → Domain Setup і клацніть на потрібний домен.
2. Переконайтесь, що стоїть галочка Secure SSL.
3. Подивіться на параметр private_html: має бути вибрано символічне посилання на public_html. Інакше по https відкриватиметься окрема, найчастіше порожня папка, і ви побачите зовсім не той сайт, що по http.

Крок 2. Випустити безкоштовний сертифікат

1. Перейдіть у Account Manager → SSL Certificates і за потреби виберіть домен у списку зверху.
2. Виберіть варіант з автоматичним сертифікатом (Let's Encrypt, у новіших версіях панелі він називається через ACME-провайдера).
3. У списку імен відмітьте все, що реально відкривається людьми: example.com, www.example.com, а також піддомени, якщо вони у вас є.
4. Тип ключа можна лишити за замовчуванням. Сучасний EC-ключ підходить для всіх актуальних браузерів; RSA варто вибрати, лише якщо з сайтом працює дуже старе обладнання чи програма.
5. Натисніть Save. Випуск займає від кількох секунд до хвилини, результат панель покаже одразу.

Продовження панель бере на себе: сертифікат живе 90 днів, і DirectAdmin перевипускає його заздалегідь, за кілька тижнів до кінця строку. Робити нічого не треба — поки домен продовжує вказувати на сервер.

Піддомени, паркування і пошта

Одна з найчастіших причин скарги «сертифікат є, але не на всіх адресах» — ім'я просто не потрапило в сертифікат. Кілька деталей:

• Піддомени, створені в панелі (shop.example.com, blog.example.com), з'являються у списку імен на сторінці SSL. Їх теж треба відмітити і перевипустити сертифікат.
• Паркувальні домени й псевдоніми (наприклад, другий домен у зоні .com.ua, який показує той самий сайт) додаються в той самий сертифікат. Без цього відвідувач, що зайшов через псевдонім, побачить попередження.
• Пошта. Якщо поштовий клієнт підключається до mail.example.com, це ім'я варто включити до сертифіката. Тоді Outlook і телефони перестануть питати, чи довіряти серверу.

Крок 3. Перенаправити весь трафік на HTTPS

Сертифікат сам по собі не змушує відвідувачів переходити на захищену версію — стара адреса з http продовжить працювати. Поверніться в Domain Setup, відкрийте домен і увімкніть Force SSL with https redirect. Панель додасть постійний 301-редирект з http на https.

Якщо ця галочка неактивна, сертифікат для домену ще не встановлено — поверніться до кроку 2.

Власникам WordPress: редирект краще робити саме тут, у панелі, а не плагіном і не дописуванням правил у .htaccess. Два механізми, що перенаправляють одне й те саме, — прямий шлях до зациклення.

Якщо сайт за Cloudflare: де найчастіше ламається

Cloudflare стоїть між відвідувачем і сервером і має власний режим SSL. Від нього залежить, як він розмовлятиме з вашим сайтом:

Порядок простий: спочатку випустіть сертифікат у DirectAdmin, потім у Cloudflare перемкніть режим на Full (strict). Випуск і продовження через проксі Cloudflare зазвичай проходять без проблем. Якщо перевірка все ж падає, тимчасово вимкніть проксі для домену (сіра хмарка), випустіть сертифікат і поверніть назад.

Коли потрібен власний або платний сертифікат

Буває, що сертифікат куплено окремо: для перевірки організації, за вимогою банку чи партнера, або ви переносите сайт і хочете зберегти вже оплачений. Порядок у DirectAdmin:

1. Якщо ключа ще немає — на сторінці SSL Certificates виберіть Create A Certificate Request. Панель згенерує запит (CSR), який ви передасте продавцю сертифіката, а закритий ключ залишиться на сервері.
2. Отримавши сертифікат, виберіть Paste a pre-generated certificate and key і вставте в поле спершу ключ, потім сертифікат — разом з рядками -----BEGIN і -----END.
3. Окремо вставте проміжні сертифікати (CA bundle) за посиланням для кореневого сертифіката на тій самій сторінці. Без них сайт відкриється на комп'ютері, але деякі телефони та сервіси оплати скажуть, що ланцюжок неповний.

Платний сертифікат сам не продовжиться: через рік його треба купити й вставити знову. Поставте нагадування за місяць до кінця строку — прострочений сертифікат блокує сайт так само жорстко, як його відсутність.

Як перевірити, що все встановлено правильно

• Відкрийте сайт у режимі інкогніто за адресами з http, https, з www і без — кожна має прийти на https без попереджень.
• Клацніть на значок біля адреси → інформація про сертифікат: перевірте, на які імена він виданий і до якої дати діє.
• Для глибшої перевірки ланцюжка й протоколів підходить безкоштовний тест SSL Labs.
• Відкрийте пошту в клієнті на телефоні — чи немає запитання про недовірений сертифікат.

Типові помилки і що вони означають

• Помилка перевірки домену (challenge failed, 404 чи timeout) — запит Let's Encrypt не дійшов до сервера. Перевірте A і AAAA-записи та чи не закриває доступ до сайту плагін безпеки чи правило в .htaccess.
• «Too many redirects» — майже завжди Cloudflare у режимі Flexible або подвійний редирект (панель плюс плагін).
• Попередження лише на www або на піддомені — ім'я не включене в сертифікат. Відмітьте його і перевипустіть.
• Сертифікат прострочився, хоча мав продовжитися — домен переносили на інший IP, змінили NS або ввімкнули блокування за країною. Продовження проходить тією самою перевіркою, що й випуск.

Коротко

Встановлення SSL у DirectAdmin — три кроки: переконатися, що DNS веде на сервер, випустити Let's Encrypt з усіма потрібними іменами, увімкнути редирект на https. Більшість проблем виникає не в панелі, а довкола неї: старий AAAA-запис, режим Cloudflare, піддомен, який забули відмітити.

Якщо сертифікат не випускається і причину знайти не вдається, напишіть у Telegram із назвою домену — адміністратор подивиться журнал випуску на сервері. Решту налаштувань нового акаунта описано в інструкції перших кроків у DirectAdmin.