Платный SSL-сертификат: как заказать, подтвердить домен и установить

Платный SSL-сертификат в TopHost оформляется так: Вы заказываете его в личном кабинете, передаёте запрос CSR, подтверждаете, что домен принадлежит Вам, ждёте выпуска у центра сертификации и устанавливаете полученные файлы на сайт. Ниже разобран каждый этап. Если сайту на виртуальном хостинге нужен просто HTTPS, покупать, возможно, ничего не придётся: бесплатный сертификат выпускается автоматически, подробнее в статье об автоматическом выпуске SSL.

Какой сертификат выбрать

TopHost продаёт сертификаты Sectigo, DigiCert, GeoTrust, RapidSSL, Thawte и GoGetSSL. Отличаются они прежде всего двумя параметрами.

• Уровень проверки. DV подтверждает только право управлять доменом и обычно выдаётся за несколько минут. Для OV и EV центр сертификации проверяет ещё и компанию: запрашивает её данные, может позвонить, а сама проверка занимает до нескольких рабочих дней.
• Какие имена защищены. Сертификат на один домен защищает одно имя (как правило, вместе с вариантом на www). Мультидоменный (SAN) сертификат охватывает несколько разных имён. Wildcard, заказанный как *.example.com, защищает все поддомены первого уровня, например shop.example.com или mail.example.com, но не a.b.example.com.

Если нужно, чтобы сервер сам продлевал сертификаты, лучше подойдёт Sectigo ACME Certificate-as-a-Service.

Что подготовить заранее

• Решите, где будет стоять сертификат (хостинг с cPanel, VPS с Nginx или Apache, Windows IIS), и кто создаст CSR: Вы сами или личный кабинет.
• Чтобы создать CSR в cPanel, откройте в разделе Security пункт SSL/TLS, затем Certificate Signing Requests (CSR), заполните домен и данные компании и нажмите Generate. Парный закрытый ключ cPanel сохранит в Вашем аккаунте, вводить его вручную потом не придётся.
• Убедитесь, что Вам доступен хотя бы один способ проверки из описанных ниже: почта на адрес вида admin@ домена, доступ к DNS-зоне или возможность загрузить файл на сайт.

Шаг 1. Оформите заказ

1. Выберите нужный сертификат и период оплаты.
2. В поле Domain Name for SSL укажите домен точно в том виде, в каком он должен быть в сертификате, например example.com. Для wildcard введите *.example.com.
3. Проверьте итог заказа, нажмите Continue и оплатите счёт.

Шаг 2. Перейдите к настройке

После оплаты откройте список услуг и выберите SSL-сертификат. У него будет статус Awaiting Configuration.

Нажмите Configure Now (на некоторых страницах кнопка называется Manage), чтобы открыть форму настройки.

Шаг 3. Укажите CSR

CSR (Certificate Signing Request) представляет собой текстовый блок, который создаётся на том сервере, где будет работать сертификат. В нём записаны имя домена и открытый ключ, а парный закрытый ключ остаётся на сервере.

• Если CSR у Вас уже есть, вставьте блок целиком, вместе с первой строкой -----BEGIN CERTIFICATE REQUEST----- и последней -----END CERTIFICATE REQUEST-----.
• Если его нет, нажмите Generate CSR. Тогда закрытый ключ создаст система, а скачать его можно будет позже кнопкой Get Private Key. Сохраните ключ в надёжном месте: без него сертификат не установить.
• Выберите New Order для первого сертификата или Renew, если продлеваете уже имеющийся.

Внимательно проверьте домен в CSR. После выпуска изменить его нельзя, ошибку исправит только перевыпуск.

Шаг 4. Заполните контактные данные

Укажите административный контакт: имя, фамилию, организацию, e-mail, адрес, город, почтовый индекс, страну и телефон. Для DV эти сведения нужны только для связи и в сертификат не попадают. Для OV и EV данные компании должны быть точными: центр сертификации их проверяет.

Шаг 5. Подтвердите право на домен (DCV)

Пока проверка домена не пройдена, сертификат не выпускается. Выберите один из способов:

• По почте. Письмо для подтверждения приходит на один из стандартных адресов домена: admin@, administrator@, hostmaster@, postmaster@ или webmaster@. Ящик должен существовать; если его нет, сначала создайте его в cPanel, затем откройте письмо и подтвердите.
• Через DNS. На странице настройки показана запись (CNAME или TXT, в зависимости от центра сертификации) с именем и значением. Если домен обслуживается DNS TopHost, добавьте её в cPanel через Zone Editor, так же как при добавлении TXT-записи. Копируйте оба поля точно, без лишних пробелов и кавычек.
• Через HTTP-файл. Скачайте небольшой текстовый файл и загрузите его в папку /.well-known/pki-validation/ в корне сайта, чтобы он открывался в браузере по обычному HTTP.

Добавив запись или файл, немного подождите (DNS-запись обычно видна уже через несколько минут, иногда позже) и нажмите Revalidate или Verify на странице сертификата.

Шаг 6. Дождитесь выпуска и скачайте файлы

Статус сменится с Processing на Active. Для DV на это обычно уходит от нескольких минут до нескольких часов, для OV и EV больше, из-за проверки компании. После этого на странице сертификата доступны:

• Download Certificate: сертификат Вашего домена (.crt);
• Download Intermediate/Chain: промежуточные сертификаты (CA bundle);
• Download PEM: сертификат и цепочка в одном файле, удобно для Nginx и похожих серверов;
• Get Private Key: только если CSR был создан в личном кабинете.

Шаг 7. Установите сертификат

На хостинге TopHost с cPanel

1. В cPanel откройте SSL/TLS, затем Manage SSL sites.
2. Выберите домен.
3. Вставьте сертификат в поле Certificate (CRT). Если CSR создавался в cPanel, закрытый ключ подставится сам (можно также нажать Autofill by Certificate), иначе вставьте ключ в Private Key (KEY).
4. Вставьте промежуточные сертификаты в Certificate Authority Bundle (CABUNDLE).
5. Нажмите Install Certificate, откройте сайт через https:// и проверьте замок в адресной строке.

На VPS или другом сервере

Nginx ждёт в ssl_certificate сертификат вместе с цепочкой (файл PEM), а в ssl_certificate_key закрытый ключ. Apache берёт сертификат из SSLCertificateFile и ключ из SSLCertificateKeyFile; в старых версиях Apache цепочка указывается в SSLCertificateChainFile. В Windows IIS импортируйте сертификат с ключом в виде файла .pfx и выберите его в HTTPS-привязке сайта.

Продление и перевыпуск

Общие правила центров сертификации постепенно сокращают максимальный срок одного сертификата (с марта 2026 года это 200 дней). Поэтому подписка может длиться дольше, чем один сертификат: до окончания срока текущего перевыпустите его на той же странице услуги с новым CSR и установите новые файлы. Чтобы не делать это вручную, выберите подписку ACME, при которой сервер продлевает сертификаты сам.

Частые проблемы

• Письмо для подтверждения не приходит. Проверьте, что выбранный адрес существует и ящик не переполнен, загляните в папку «Спам» или перейдите на проверку через DNS.
• Проверка через DNS не проходит. Скорее всего, запись добавлена не в ту зону (домен работает на других NS-серверах, не TopHost, и запись нужно внести там, где реально находится DNS) или имя задвоилось, например _abc.example.com.example.com. Некоторые редакторы DNS дописывают домен сами; в них вводите только первую часть имени.
• Браузер сообщает, что сертификат ненадёжен. Не установлены промежуточные сертификаты. Добавьте CA bundle или используйте файл PEM.
• Закрытый ключ потерян. Без него сертификат бесполезен. Создайте новый CSR и перевыпустите сертификат.

Нужна помощь?

Если проверка зависла или при установке появляется ошибка, откройте тикет и укажите домен и точный текст сообщения. Закрытый ключ в тикете не присылайте.

Полезные статьи

• Автоматический выпуск SSL на виртуальном хостинге
• SSL-сертификат отсутствует или истёк: как заново выпустить его в cPanel
• Sectigo ACME Certificate-as-a-Service
• Перенаправление с http на https через .htaccess