एक्सपायर्ड SSL सर्टिफ़िकेट कैसे ठीक करें: चरण दर चरण

“सर्टिफ़िकेट एक्सपायर हो गया” का असली मतलब

हर TLS सर्टिफ़िकेट पर दो तारीख़ें होती हैं: इससे पहले नहीं और इसके बाद नहीं। ब्राउज़र हर कनेक्शन पर घड़ी को इन तारीख़ों से मिलाता है। इसके बाद नहीं वाली तारीख़ बीतने पर सर्टिफ़िकेट किसी बात का वैध सबूत नहीं रहता, तो ब्राउज़र आगे बढ़ने से मना कर देता है और आपकी साइट की जगह पूरे पन्ने की चेतावनी दिखाता है।

इससे तीन बातें निकलती हैं, और इसीलिए यह मामला ज़रूरी है, सजावटी नहीं:

• आपके सर्वर पर कुछ टूटा नहीं है। साइट चल रही है, फ़ाइलें ठीक हैं, डेटाबेस ठीक है। एक तारीख़ बीत गई।
• यह धीरे-धीरे नहीं होता। कोई आधा-अधूरा मोड नहीं है — साइट एक्सपायर होने के सेकंड तक चलती है, और उसके बाद हर विज़िटर के लिए चेतावनी का पन्ना है।
• असर ब्राउज़र से आगे तक है। API क्लाइंट, मोबाइल ऐप, पेमेंट प्रोवाइडर के वेबहुक और सख़्त HTTP लाइब्रेरी वाली हर चीज़ भी कनेक्शन ठुकरा देगी, और आम तौर पर कहीं कम मददगार एरर के साथ।

समाधान हमेशा एक ही शक्ल का होता है: नया सर्टिफ़िकेट लें, उसे लगाएँ, और जो सेवा उसे सर्व करती है उसे रीलोड करें। इस समस्या में ज़्यादा वक़्त दूसरे और तीसरे चरण में जाता है, पहले में नहीं।

पहले पक्का करें कि मामला वाक़ई एक्सपायरी का है

कई अलग समस्याएँ मिलती-जुलती चेतावनी दिखाती हैं, और हर एक का इलाज पूरी तरह अलग है। शीर्षक नहीं, एरर कोड पढ़ें।

• NET::ERR_CERT_DATE_INVALID — यही एक्सपायरी है (या सर्वर की घड़ी बहुत ग़लत है)। इस गाइड पर आगे बढ़ें।
• NET::ERR_CERT_COMMON_NAME_INVALID — सर्टिफ़िकेट वैध है मगर उस नाम को कवर नहीं करता जिस पर आप गए। आम बात है जब www या कोई नया सबडोमेन छूट गया हो।
• NET::ERR_CERT_AUTHORITY_INVALID — सेल्फ़-साइंड, या जारी करने वाली अथॉरिटी भरोसेमंद नहीं, या सर्वर जो भेज रहा है उसमें कोई इंटरमीडिएट सर्टिफ़िकेट नहीं है।
• SSL_ERROR_BAD_CERT_DOMAIN (Firefox की शब्दावली) — ऊपर वाली ही नाम की गड़बड़ी।

तारीख़ें अपनी मशीन के बाहर से जाँचें, उस ब्राउज़र से नहीं जो पहले से खुला है, ताकि कोई लोकल कैश या पुराना प्रॉक्सी आपको गुमराह न करे। एक SSL सर्टिफ़िकेट चेकर जारीकर्ता, वैधता की तारीख़ें, बचे हुए दिन और सर्टिफ़िकेट के कवर किए हर नाम को दिखाता है। अगर अंतिम तारीख़ बीत चुकी है तो पुष्टि हो गई — और साथ ही पता चल जाता है कि आपके ज़रूरी नाम सर्टिफ़िकेट में हैं या नहीं, जिससे यह सारा चक्कर दोबारा नहीं करना पड़ता।

रिन्यू और इंस्टॉल: चार चरण

यही चार चरण पूरा काम हैं। तीसरा वही है जो लोग छोड़ देते हैं।

1. नया सर्टिफ़िकेट लें

Let's Encrypt या किसी भी ACME क्लाइंट के साथ यह आम तौर पर एक कमांड है — certbot renew या आपके पैनल का रिन्यू बटन। अगर रिन्यूअल सिर्फ़ देर से नहीं है बल्कि नाकाम हो रहा है, तो नीचे रिन्यूअल नाकामी वाले हिस्से पर जाएँ, क्योंकि कमांड दोबारा चलाने पर वही नाकामी मिलेगी।

पेड सर्टिफ़िकेट में आपको नया CSR बनाना, डोमेन वैलिडेशन फिर करना और जारी हुई फ़ाइलें डाउनलोड करनी पड़ सकती हैं। जिस प्राइवेट की से CSR बनाया था उसे संभालकर रखें — उसके बिना सर्टिफ़िकेट बेकार है।

2. सिर्फ़ सर्टिफ़िकेट नहीं, पूरी चेन लगाएँ

आपके सर्वर को आपका सर्टिफ़िकेट और वे इंटरमीडिएट सर्टिफ़िकेट भेजने होते हैं जो उसे किसी भरोसेमंद रूट से जोड़ते हैं। सर्टिफ़िकेट अथॉरिटी आम तौर पर लीफ़ फ़ाइल और एक बंडल या चेन फ़ाइल दोनों देती है; सिर्फ़ लीफ़ लगाने से कुछ क्लाइंट पर अथॉरिटी-अमान्य एरर आता है और वह अबूझ हालत बनती है कि “मेरे ब्राउज़र में तो चल रहा है” — क्योंकि ब्राउज़र के पास दूसरी साइटों से इंटरमीडिएट कैश में पड़े होते हैं, नए क्लाइंट के पास नहीं।

अपनी कॉन्फ़िगरेशन को पूरी चेन वाली फ़ाइल (Let's Encrypt में fullchain.pem) और उससे मेल खाती प्राइवेट की की ओर इशारा करने दें।

3. सेवा रीलोड करें

फ़ाइलें लिख देने से अपने आप कुछ नहीं बदलता। चल रही प्रक्रिया ने शुरू होते समय पुराना सर्टिफ़िकेट मेमोरी में उठा लिया था और जब तक कहा न जाए उसे ही सर्व करती रहेगी। nginx, Apache, Caddy, HAProxy, लोड बैलेंसर या जो भी TLS टर्मिनेट करता है उसे रीलोड करें। ठीक से रिन्यू हुए सर्टिफ़िकेट के बाद भी एक्सपायर्ड दिखने की यही सबसे आम वजह है।

अगर TLS कहीं और टर्मिनेट होता है — कोई CDN, रिवर्स प्रॉक्सी, मैनेज्ड लोड बैलेंसर, किसी प्लैटफ़ॉर्म का एज — तो नए सर्टिफ़िकेट की ज़रूरत उसी को है, और आपके ऑरिजिन सर्वर की फ़ाइलें बेमानी हो सकती हैं।

4. बाहर से पुष्टि करें

लाइव होस्टनाम को अपने नेटवर्क के बाहर से दोबारा जाँचें और नई वैधता तारीख़ तथा कवर किए नाम पक्के करें। अपने ब्राउज़र पर भरोसा न करें, वह अभी भी कैश किया कनेक्शन या बीच का पन्ना दिखा सकता है। अगर साइट www और एपेक्स दोनों से चलती है तो दोनों अलग-अलग जाँचें — उनके सर्टिफ़िकेट अलग हो सकते हैं।

जब ऑटोमैटिक रिन्यूअल चुपचाप रुक गया

अगर आपके पास ACME क्लाइंट है, तो सर्टिफ़िकेट एक्सपायर होने का मतलब है कि रिन्यूअल हफ़्तों से नाकाम हो रहा है — आम तौर पर उस क्रॉन जॉब में जिसे कोई नहीं पढ़ता। आम वजहें, मोटे तौर पर आम होने के क्रम में:

• HTTP-01 चैलेंज सर्वर तक नहीं पहुँच पा रहा। सारा HTTP ट्रैफ़िक HTTPS पर भेजने वाला नया रीडायरेक्ट, कोई फ़ायरवॉल नियम, या /.well-known/acme-challenge/ को पकड़ने वाला कोई रीराइट — ये वैलिडेशन तोड़ देते हैं। वह पाथ सादे HTTP पर पहुँच में रहना चाहिए।
• DNS बदल गया। नाम अब कहीं और इशारा करता है, तो चैलेंज वह होस्ट सर्व कर रहा है जिसके पास टोकन नहीं है। अगर आपने हाल में होस्टिंग बदली है तो लगभग तय यही है — नाम क्वेरी करें और DNS लुकअप टूल से देखें कि वह असल में कहाँ हल होता है।
• सर्टिफ़िकेट का कोई नाम अब मौजूद नहीं है। ACME पूरा सेट एक साथ रिन्यू करता है, इसलिए एक बंद किया गया सबडोमेन जो अब हल नहीं होता, पूरा रिन्यूअल नाकाम कर देता है — उन नामों समेत जो अब भी चालू हैं।
• टाइमर या क्रॉन जॉब चल ही नहीं रहा। सर्वर माइग्रेशन या OS अपग्रेड के बाद systemd टाइमर या क्रॉन एंट्री अक्सर बस गायब हो जाती है।
• क्लाइंट बहुत पुराना है। ACME v1 एंडपॉइंट कब के बंद हो चुके; सालों से अपडेट न हुआ क्लाइंट कुछ भी रिन्यू नहीं कर सकता।

रिन्यूअल हाथ से चलाएँ और एरर पढ़ें, बजाय इसके कि उसे फिर शेड्यूल कर उम्मीद लगाएँ। ड्राई रन बता देता है कि अगली ऑटोमैटिक कोशिश चलेगी या नहीं — और यही एक सवाल मायने रखता है।

जब सर्टिफ़िकेट ठीक है मगर चेन नहीं

कभी-कभी आपका सर्टिफ़िकेट अच्छे-ख़ासे वक़्त तक वैध है और साइट फिर भी नाकाम होती है। आम वजह यह है कि चेन का कोई इंटरमीडिएट सर्टिफ़िकेट एक्सपायर हो गया है, या आपका सर्वर पुरानी चेन भेज रहा है जिसमें ऐसी क्रॉस-साइंड रूट है जिसकी मियाद बीत चुकी है।

2021 में इसी से एक मशहूर आउटेज हुआ था, जब एक बहुप्रचलित रूट एक्सपायर हुई और पुरानी चेन सर्व कर रहीं हज़ारों साइटें पुराने क्लाइंट पर नाकाम होने लगीं, जबकि मौजूदा ब्राउज़र में वे बिल्कुल ठीक दिखती थीं। लक्षण ख़ास है: आधुनिक डेस्कटॉप ब्राउज़र खुश रहते हैं, जबकि पुराने डिवाइस, कुछ मोबाइल ऐप और सर्वर-साइड HTTP क्लाइंट कनेक्शन ठुकरा देते हैं।

इलाज यह है कि आपकी सर्टिफ़िकेट अथॉरिटी आज जो चेन प्रकाशित करती है वही दोबारा लगाएँ, सालों पहले डाउनलोड की फ़ाइल नहीं — और फिर रीलोड करें। देखें कि आपका सर्वर असल में क्या भेजता है, वह नहीं जो आप मानते हैं, और चेन के हर सर्टिफ़िकेट को उसकी अपनी एक्सपायरी तारीख़ के साथ सर्टिफ़िकेट चेकर से पक्का करें।

ठीक करने के बाद भी एक्सपायर्ड क्यों दिख रहा है

आपने रिन्यू किया, लगाया, रीलोड किया, और चेतावनी अब भी वहीं है। इन्हें क्रम से देखें:

• TLS कोई और टर्मिनेट कर रहा है। आपके ऑरिजिन के सामने की CDN या प्रॉक्सी विज़िटर को अपना सर्टिफ़िकेट देती है। उसे वहीं अपडेट करें।
• नाम के पीछे एक से ज़्यादा सर्वर हैं। लोड बैलेंसर के पीछे कई बैकएंड हों तो उनमें से एक पर लगा सर्टिफ़िकेट मतलब करीब आधे विज़िटर अब भी पुराना देख रहे हैं — और पेज रीलोड करने से कभी ठीक लगना इसी का इशारा है।
• आपका ब्राउज़र कैश की हालत दिखा रहा है। प्राइवेट विंडो, दूसरा ब्राउज़र या अपने नेटवर्क के बाहर से जाँच आज़माएँ।
• कई वर्चुअल होस्ट, अपडेट सिर्फ़ एक। जो होस्टनाम आपने जाँचा वह विज़िटर के इस्तेमाल वाला नहीं है। हर नाम अलग से जाँचें।
• रीलोड असल में हुआ ही नहीं। कॉन्फ़िगरेशन टेस्ट नाकाम होने का मतलब अक्सर यह होता है कि सेवा पुरानी कॉन्फ़िगरेशन और पुराने सर्टिफ़िकेट के साथ चलती रहती है। अपने कमांड का एग्ज़िट कोड नहीं, सेवा की स्थिति देखें।

आगे ऐसा न हो, यह पक्का करना

एक्सपायरी सबसे आसानी से टाली जा सकने वाली ख़राबी है, क्योंकि आख़िरी तारीख़ महीनों पहले प्रकाशित हो जाती है।

• रिन्यूअल ऑटोमेट करें, फिर ऑटोमेशन जाँचें। एक ACME क्लाइंट और टाइमर, और एक ड्राई रन जिसे आपने सचमुच सफल होते देखा है। बिना जाँची ऑटोमेशन, ऑटोमेशन नहीं है।
• बचे हुए दिन मॉनिटर करें, सिर्फ़ अपटाइम नहीं। अपटाइम जाँच एक्सपायरी के ठीक लम्हे तक पास होती रहती है और पहले कुछ नहीं बताती। 21 दिन पर और फिर 7 दिन पर अलर्ट रखें।
• सर्टिफ़िकेट की नाम-सूची ईमानदार रखें। बंद किए सबडोमेन हटा दें, ताकि कोई मरा हुआ नाम पूरे रिन्यूअल को न गिरा दे।
• छोटी होती मियाद पर ध्यान दें। सर्टिफ़िकेट की अवधि सालों से घट रही है और आगे भी घटेगी। किसी इंसान के याद रखने पर टिकी हर प्रक्रिया टूटेगी; ऑटोमेशन अब विकल्प नहीं है।
• हर माइग्रेशन के बाद चेन जाँचें। होस्ट बदलना ही वह मौक़ा है जब पुराना इंटरमीडिएट या भूला हुआ TLS टर्मिनेटर सामने आता है।

सर्टिफ़िकेट में क्या होता है और चेन कैसे पढ़ें, इसकी पूरी तस्वीर चाहिए तो SSL/TLS सर्टिफ़िकेट जाँचने की गाइड हर फ़ील्ड पर जाती है।

आम गलतियाँ

• नया सर्टिफ़िकेट लगाकर सेवा रीलोड न करना। “ठीक कर दिया और अब भी टूटा है” की सबसे आम वजह।
• इंटरमीडिएट चेन के बिना लीफ़ लगाना। आपके ब्राउज़र में चलता है, दूसरे क्लाइंट पर नाकाम।
• नाकाम हो रहे रिन्यूअल को बिना बदलाव दोहराना। वह वैसे ही नाकाम होगा; पहले एरर पढ़ें।
• उसी ब्राउज़र से नतीजा आँकना जो पहले से खुला था। अपने नेटवर्क के बाहर से जाँचें।
• एपेक्स ठीक करके www भूल जाना, या उलटा।
• हड़बड़ी में प्राइवेट की मिटा देना। उसके बिना नया सर्टिफ़िकेट लगाया नहीं जा सकता।
• एक्सपायरी की चेतावनी के लिए अपटाइम मॉनिटर पर भरोसा करना। वह ऐसा नहीं कर सकता।

संक्षेप में

एक्सपायर्ड सर्टिफ़िकेट तारीख़ की समस्या है, सर्वर की नहीं: पक्का करें कि एरर वाक़ई NET::ERR_CERT_DATE_INVALID है, नया सर्टिफ़िकेट जारी कराएँ, उससे मेल खाती प्राइवेट की के साथ पूरी चेन लगाएँ, जो सेवा TLS टर्मिनेट करती है उसे रीलोड करें, और फिर नई एक्सपायरी तारीख़ अपने नेटवर्क के बाहर से जाँचें। अगर रिन्यूअल ऑटोमैटिक होना था, तो उसे दोबारा शेड्यूल करने से पहले पता करें कि वह क्यों रुका — आम तौर पर ब्लॉक हुआ ACME चैलेंज पाथ, DNS बदलाव, या बंद किया गया सबडोमेन। उसके बाद बचे हुए दिन मॉनिटर करें, ताकि अगली बार गिनती शून्य तक पहुँचे ही नहीं। किसी भी डोमेन का सर्टिफ़िकेट, उसकी चेन और सटीक एक्सपायरी तारीख़ मुफ़्त SSL सर्टिफ़िकेट चेकर से देखें, और नाम कहाँ इशारा करता है यह DNS लुकअप टूल से पक्का करें।

संबंधित टूल और गाइड:

• SSL प्रमाणपत्र चेकर — किसी भी डोमेन का SSL प्रमाणपत्र जाँचें: जारीकर्ता, समाप्ति तिथि और शेष दिन।
• सुरक्षा हेडर चेकर — HSTS, CSP, X-Frame-Options और अन्य प्रमुख सुरक्षा हेडर जाँचें।
• SSL प्रमाणपत्र चेकर: SSL/TLS प्रमाणपत्र जाँचने की पूरी गाइड — किसी भी डोमेन के SSL/TLS प्रमाणपत्र की जाँच के लिए SSL प्रमाणपत्र चेकर का उपयोग सीखें — जारीकर्ता

अक्सर पूछे जाने वाले सवाल