Главная/Установка/Приватный ключ
Приватный ключ сертификата: что это и как его хранить
Приватный ключ сертификата это секретный файл, который создаётся вместе с запросом на сертификат и остаётся только на вашем сервере: им сервер подтверждает, что сертификат принадлежит именно ему. Центру сертификации ключ не передают, потерянный восстановить нельзя, а утёкший требует замены сертификата.
Ответ за 30 секунд
Ключ никому не отправляют: ни центру сертификации, ни на почту, ни в репозиторий. Права на файл 600, владелец root. Потерянный ключ не восстановить, придётся перевыпускать сертификат с новым запросом.
Если ключ потерян, платный сертификат выпускается за 15-30 минут (на 19 октября 2026), любой можно вернуть за 7 дней.
Что делать, если приватный ключ потерян или попал к посторонним600права на файл ключа
1ключ на сертификат, копии не создаются сами
2048минимум бит для RSA
01 · 1 мин
Чем приватный ключ отличается от открытого и от сертификата#
Ключи работают парой. Открытый ключ входит в сертификат и доступен всем, посетитель получает его при каждом соединении. Приватный ключ знает только сервер, и именно им он доказывает, что сертификат выдан ему, а не подделан.
| Часть | Где лежит | Кто видит |
|---|---|---|
| Открытый ключ | Внутри сертификата и запроса CSR | Все |
| Приватный ключ | Файл .key или privkey.pem на сервере | Только сервер и администратор |
| Сертификат | Файл .crt или .pem | Все, его отдаёт сервер |
Подпись центра сертификации привязана к открытому ключу, поэтому сертификат без своего приватного ключа бесполезен: сервер не сможет пройти проверку. Как соотносятся файлы по форматам: форматы сертификатов.
02 · 1 мин
Где найти приватный ключ на сервере, в панели и в IIS#
На хостинге с автоматическим SSL ключ создаётся и хранится на стороне провайдера, вам его видеть не нужно.
- Certbot. Файл
/etc/letsencrypt/live/ваш-домен/privkey.pem. Это ссылка на актуальную версию в каталогеarchive. Ключ создаёт сам Certbot. - OpenSSL. Файл, который вы назвали в параметре
-keyoutпри создании запроса: запрос CSR. - cPanel. Раздел «Private Keys (KEY)» в блоке «SSL/TLS»: SSL в cPanel.
- IIS. Ключ хранится в хранилище Windows вместе с сертификатом и выезжает только в файле PFX: SSL на IIS.
03 · 1 мин
Как защитить приватный ключ: права, место и запреты#
Файл с ключом читает только веб-сервер и администратор. Документация Nginx прямо называет ключ секретом, а документация Apache требует, чтобы файл принадлежал root и читался только им. Выставьте права одной командой:
sudo chown root:root /etc/nginx/ssl/example.com.key
sudo chmod 600 /etc/nginx/ssl/example.com.keyПять правил, которые закрывают почти все утечки:
- Не кладите ключ в каталог сайта. Если он окажется рядом с
index.htmlили вpublic_html, его скачают по адресу. - Не отправляйте ключ по почте, в мессенджерах и тикетах поддержки.
- Не коммитьте ключ в Git, даже в закрытый репозиторий.
- Не передавайте его центру сертификации. Ему нужен только запрос CSR.
- Храните одну резервную копию в менеджере паролей или зашифрованном архиве, отдельно от сервера.
Парольная фраза на ключе защищает файл на диске, но Apache и другие серверы будут спрашивать её при каждом запуске. Для серверов обычно оставляют ключ без фразы и надёжно ограничивают доступ.
04 · 1 мин
Как проверить, что приватный ключ подходит к сертификату#
Ошибка «key values mismatch» значит, что ключ и сертификат из разных пар. Сравните отпечатки открытых ключей: если ключ и сертификат парные, хеши одинаковые.
openssl x509 -in example.com.crt -noout -pubkey | openssl sha256
openssl pkey -in example.com.key -pubout | openssl sha256Команда работает и для RSA, и для ключей на эллиптических кривых. Целостность самого RSA-файла проверяет openssl rsa -in example.com.key -check -noout, ответ «RSA key ok» означает, что файл не повреждён. Больше команд: проверка через openssl.
Инструмент · 1 мин
Что делать, если приватный ключ потерян или попал к посторонним#
Различайте две ситуации. Потеря значит, что ключа у вас больше нет. Утечка значит, что он есть у вас и мог появиться у кого-то ещё. Лечится обе перевыпуском, но в случае утечки старый сертификат ещё и отзывают.
Что делать с ключом в вашей ситуации
Выберите, что произошло, ответ назовёт порядок действий
Пошаговый порядок, лимиты Let's Encrypt и отзыв через Certbot: перевыпуск SSL.
06 · 1 мин
Вопросы о приватном ключе сертификата#
Что такое приватный ключ SSL и зачем он нужен?
Это секретная половина пары ключей. Сервер использует его, чтобы подтвердить принадлежность сертификата и установить защищённое соединение с браузером.
Можно ли восстановить потерянный приватный ключ сертификата?
Нет. Ключ не хранится у центра сертификации. Создайте новую пару, получите сертификат заново и замените старые файлы на сервере.
Нужно ли отправлять приватный ключ в центр сертификации?
Нет. Ему отправляют только запрос CSR, в котором лежит открытый ключ. Если кто-то просит прислать файл .key, это повод остановиться.
Где хранить резервную копию приватного ключа?
В зашифрованном виде и отдельно от сервера, например в менеджере паролей. Если ключ создан Certbot, копия не нужна: сертификат выпускается заново за минуты.
Почему этому можно верить
Как мы проверяли
Источники цифр на этой странице: SSL-сертификаты Таймвеб, timeweb.com/ru/services/domains/ssl, проверено 19 октября 2026; Let's Encrypt: документация, letsencrypt.org/docs, проверено 19 октября 2026.
Подключите SSL к сайту
От бесплатного Let's Encrypt до платных сертификатов GlobalSign с гарантийной выплатой и установкой под ключ. Любой можно вернуть за 7 дней.
- Бесплатный Let's Encrypt на домен
- Платные от 1 000 ₽ за 6 месяцев
- Wildcard на все поддомены
- 7 дней на возврат