SSL-сертификат на субдомен: нужен ли он и как установить

Субдомен используется, когда отдельную часть проекта нужно вынести в самостоятельный адрес: shop.example.kz, blog.example.kz, admin.example.kz или school.example.kz. В браузере такой адрес воспринимается как отдельный узел, даже если он размещён на том же сервере, что и основной сайт.

SSL-сертификат шифрует соединение между пользователем и сервером. После его установки субдомен открывается по HTTPS, а браузер показывает защищённое соединение. Это важно для страниц с формами, личными кабинетами, оплатой, внутренними системами и любыми данными пользователей.

Сертификат основного домена не всегда распространяется на субдомены автоматически. Всё зависит от его типа и настроек: стандартный сертификат обычно действует только для одного имени, а wildcard-вариант покрывает субдомены первого уровня.

Вариант сертификата	Какие адреса покрывает	Когда подходит	Особенность
Обычный однодоменный	example.kz	Для основного сайта	Субдомен нужно добавлять отдельно
Отдельный для субдомена	shop.example.kz	Для одного сервиса или проекта	Требует самостоятельного выпуска и продления
Wildcard	*.example.kz	Для нескольких субдоменов	Не покрывает сам example.kz без дополнительного имени
SAN-мультидоменный	Несколько указанных адресов	Для разных доменов и субдоменов	Список имён задаётся при выпуске

Когда субдомену требуется защита

HTTPS необходим, если на субдомене есть авторизация, формы обратной связи, загрузка файлов, онлайн-оплата или обмен персональными данными. Даже простая административная панель должна работать через защищённое соединение: логин и пароль не должны передаваться в открытом виде.

Техническая необходимость возникает и в других случаях. Современные браузеры отмечают HTTP-страницы как небезопасные, поисковые системы учитывают защищённый протокол, а часть функций JavaScript, cookies и API доступна только в безопасном контексте. Поэтому SSL для субдомена влияет и на безопасность, и на стабильность работы сайта.

Почему сертификат главного домена может не подойти

Сертификат для example.kz обычно не распространяется на shop.example.kz. Это разные доменные имена, и сервер должен предъявить браузеру сертификат, в списке допустимых имён которого указан нужный адрес.

Wildcard-сертификат с записью *.example.kz покрывает shop.example.kz, blog.example.kz и другие субдомены первого уровня. Но адрес example.kz сам по себе в такое покрытие не входит. Также wildcard обычно не защищает вложенный адрес вроде dev.shop.example.kz.

Как выбрать подходящий сертификат

Если нужен один субдомен, достаточно отдельного бесплатного или коммерческого сертификата. Для нескольких сервисов удобнее wildcard: он позволяет использовать одну схему защиты для новых субдоменов без выпуска отдельного сертификата на каждый адрес.

При выборе важно учитывать тип проверки, срок действия, способ автоматического продления и поддержку со стороны хостинга. Полезные сведения о настройке защищённого соединения можно найти в материале об SSL, а для рабочего сайта лучше заранее уточнить, какие функции доступны в панели управления сервером.

Для корпоративных проектов иногда выбирают коммерческие сертификаты с расширенной поддержкой или дополнительными гарантиями. Однако для большинства сайтов, блогов, образовательных платформ и внутренних сервисов достаточно корректно настроенного сертификата Let’s Encrypt.

Что подготовить перед установкой

Сначала нужно направить DNS-запись субдомена на правильный сервер. Для этого обычно создают A-запись с IPv4-адресом или AAAA-запись с IPv6-адресом. Если используется другая инфраструктура, может понадобиться CNAME-запись.

Затем проверяют, что веб-сервер принимает запросы по 80 и 443 портам, а виртуальный хост настроен на нужное имя. Следует также убедиться, что сайт открывается по HTTP и что на сервере есть доступ к панели хостинга, SSH или конфигурации Nginx и Apache.

Установка через панель хостинга

Во многих панелях управления сертификат выпускается в разделе доменов или безопасности. Пользователь выбирает субдомен, указывает тип SSL и запускает проверку владения. После успешной валидации панель устанавливает сертификат, закрытый ключ и промежуточную цепочку.

Чаще всего доступна проверка через HTTP-файл или DNS-запись. Для HTTP-проверки сервер должен отдавать специальный файл по адресу субдомена. При DNS-проверке в настройках домена временно создаётся TXT-запись, после чего удостоверяющий центр подтверждает право управления адресом.

Настройка на Nginx или Apache

При ручной установке на Nginx в конфигурации виртуального хоста указывают server_name, путь к сертификату и закрытому ключу. HTTP-запросы обычно перенаправляют на HTTPS кодом 301. После изменения конфигурации выполняют проверку синтаксиса и перезапускают веб-сервер.

В Apache используются директивы SSL для виртуального хоста на порту 443. Важно подключить полную цепочку сертификатов, иначе некоторые браузеры и мобильные устройства могут сообщать об ошибке доверия. Закрытый ключ хранят с ограниченными правами доступа и не размещают в открытой директории сайта.

Проверка и продление сертификата

После установки нужно открыть именно адрес субдомена в браузере и проверить, что соединение устанавливается без предупреждений. Дополнительно тестируют формы, авторизацию, загрузку файлов, API-запросы и редиректы. Смешанное содержимое возникает, когда страница загружается по HTTPS, а изображения, стили или скрипты подключаются по HTTP.

Срок действия сертификата необходимо контролировать заранее. Для Let’s Encrypt обычно настраивают автоматическое продление через панель хостинга, Certbot или планировщик задач. После продления полезно выполнить тестовую проверку, чтобы новый сертификат действительно был подключён к нужному виртуальному хосту.

Типичные ошибки при подключении

Одна из частых проблем — сертификат выпущен для основного домена, но не содержит имя субдомена. Также встречаются неверная DNS-запись, кэширование старых данных, закрытый 80 порт и конфликт нескольких виртуальных хостов на одном сервере.

Ошибка цепочки доверия появляется при неполной установке промежуточного сертификата. Сообщение о несоответствии имени означает, что сервер отдаёт сертификат для другого адреса. Если после настройки субдомен продолжает открываться по HTTP, нужно проверить редирект, ссылки внутри сайта и параметры прокси или CDN.