Чому сайти з безкоштовними SSL сертифікатами Let’s Encrypt перестали працювати?

30 вересня, 2021 року закінчився термін дії кореневого сертифіката DST Root CA X3. Даний кореневий сертифікат використовувався для коректної роботи безкоштовних SSL сертифікатів Let’s Encrypt, які встановлено на близько 250 млн сайтів по всьому світу.

В чому суть проблеми

Проблема полягає в тому, що на відміну від SSL сертифікатів, які можна отримати на хостинг+домен і поновлювати їх щойно з’явиться потреба, кореневі сертифікати зберігаються на пристроях користувачів, як от смартфон, ноутбук, настільний комп’ютер, ігрова приставка тощо, а поновлення кореневих сертифікатів відбувається разом з поновленням версії програмного забезпечення встановленого на пристрої, в момент оновлення прошивки, операційної системи тощо.

Що це все означає

Якщо у Вас встановлено безкоштовний SSL сертифікат від Let’s Encrypt, деякі користувачі, які відвідують Ваш сайт з застарілих пристроїв, які давно не отримували оновлень програмного забезпечення і кореневих сертифікатів можуть отримувати сповіщення від браузера, що з’єднання з сайтом не захищене, як от на зображенні нижче

Нижче деякий перелік пристроїв і операційних систем, які вважаються застарілими і можуть мати проблеми з відображенням сайтів. Даний список не повний і може включати в себе значно більше пристроїв та систем.

— Windows XP, 7 (в тому числі деякі версії 8.1 та 10, які давно не отримували оновлень)

— MacOS версії нижче 10.12.1

— iOS версії нижче 10

— Android версії нижче 2.3.6

— Ubuntu версії нижче 16.04

— Debian версії нижче 8

— Консолі PS з версією прошивки нижче 5.00

— Браузер Mozilla Firefox версії нижче 2.0

Що можна зробити в даній ситуації

— Найшвидший та найпростіший варіант це встановити на сайт платний SSL сертифікат від будь-якого довіреного центру сертифікації. Даний варіант повністю відновить роботу сайту для всіх його відвідувачів.

— Встановити на комп’ютер новий кореневий сертифікат ISRG Root X1. Відвідувач, на комп’ютері якого буде виконана ця процедура зможе отримати доступ до сайту. Інструкція як це зробити доступна нижче, в прикладі розглянуто встановлення сертифіката на ОС Windows 10, на всіх інших пристроях дії будуть схожими.

— Перейти на більш новішу версію операційної системи, встановити останні оновлення ОС та супутнього програмного забезпечення, обновити версію браузера тощо.

Встановлення нового кореневого сертифіката

Завантажте кореневий сертифікат ISRG Root X1 в форматі *.der з сайту Let’s Encrypt за посиланням https://letsencrypt.org/certificates

Відкрийте завантажений файл та натисніть кнопку Інсталювати сертифікат...

В розділі Розташування сховища оберіть куди слід встановити сертифікат, в нашому випадку це буде Поточний користувач та натисніть кнопку Далі

На наступній сторінці оберіть пункт Розташувати всі сертифікати в такому сховищі та натисніть кнопку Огляд…

У вікні, що відкрилося оберіть теку Довірені кореневі центри сертифікації та натисніть кнопку ОК

Натисніть кнопку Далі ? Готово ? Отримайте сповіщення про успішний імпорт сертифікату