Можно ли изменить домен при перевыпуске SSL-сертификата в течение срока его действия?
Многие клиенты после выпуска SSL-сертификата из-за корректировки проекта, истечения срока домена и других причин хотят заменить домен в SSL-сертификате. Можно ли напрямую изменить его через «перевыпуск (Reissue)»? Ответ зависит от типа сертификата и политики центра сертификации (CA). Ниже приведён разбор ключевых моментов:
1. Тип сертификата определяет возможность замены домена
| Тип сертификата | Можно ли заменить домен? | Ограничения операции |
|---|---|---|
| Сертификат для одного домена | ❌ Нельзя заменить | Привязан только к одному домену (например, racent.com), необходимо приобрести новый сертификат. |
| Мультидоменный сертификат | ✔️ Можно изменить список доменов (SAN-сертификат) | - Разрешено добавлять/удалять/изменять домены (требуется подтверждение владения) - Общее количество доменов ограничено CA (обычно 100–250) - Возможны дополнительные расходы, точная информация зависит от системы |
| Wildcard-сертификат | ❌ Нельзя заменить | Защищает основной домен и все его поддомены (например, *. racent.com), изменить основной домен через перевыпуск невозможно. Необходимо приобрести новый сертификат. |
2. Основные положения политики центров сертификации (CA)
-
Права на изменение домена
- Некоторые CA поддерживают изменение списка доменов мультидоменного сертификата при перевыпуске, но требуется повторное подтверждение владения новыми доменами.
- Основной домен сертификата (Common Name) обычно изменить нельзя, требуется подать новую заявку на сертификат.
-
Требования к проверке
- Для новых доменов необходимо заново пройти подтверждение владения доменом (DNS/HTTP/проверка по email), процесс такой же, как при первичной заявке.
3. Порядок действий
-
Свяжитесь с CA или поставщиком
- Подтвердите, поддерживается ли изменение домена при перевыпуске, уточните стоимость и ограничения.
-
Отправьте новый CSR (если меняется основной домен)
- Если нужно изменить основной домен, необходимо создать новый закрытый ключ и CSR (запрос на подписание сертификата).
-
Проверьте новый домен
- Новый домен должен пройти процедуру проверки CA.
-
Выполните перевыпуск и развёртывание
- После получения нового сертификата замените старый сертификат и разверните его на сервере.
На что обратить внимание после перевыпуска сертификата:
- Срок действия не меняется: после перевыпуска срок действия сертификата совпадает с исходным и не продлевается.
- Стоимость: за добавление доменов может потребоваться доплата (например, при переходе от сертификата для одного домена к мультидоменному).
- Особые ограничения: сертификаты типа EV, требующие строгой проверки, обычно не поддерживают изменение домена.
Итог: правила замены для разных сертификатов
По типу сертификата
| Тип сертификата | Можно ли заменить основной домен? | Можно ли изменить список доменов? |
|---|---|---|
| Сертификат для одного домена | Нет | Нет |
| Мультидоменный сертификат | Нет | Да (требуется проверка) |
| Wildcard-сертификат | Нет | Нет |
Рекомендация
Перед перевыпуском обязательно уточните детали политики у CA или поставщика, чтобы избежать сбоев из-за несоответствия процедуре.
По политике центра сертификации (CA)
| CA | Можно ли заменить домен | Максимальный доступный срок |
|---|---|---|
| sslTrus | Поддерживается | 5 лет |
| sslTrus Pro | Не поддерживается | 3 года |
| Серия Digicert | Возможно, но требуется ручная операция, необходимо указать причину для подачи заявки | 3 года |
| Geotrust | Возможно, но требуется ручная операция, необходимо указать причину для подачи заявки | 3 года |
| CFCA | Не поддерживается | 1 год (для алгоритмов ГоМи 3 года / для обычных серверов 5 лет) |
| Globalsign | Не поддерживается | 1 год |
| Certum | Не поддерживается | 1 год |