Клиентский сертификат: что такое mTLS и как его настроить, термины и чек-лист

Подробности, цифры, термины и чек-лист по теме «Клиентский сертификат: что такое mTLS и как его настроить». Страница справочника целиком: Клиентский сертификат.

Коротко о теме

Клиентский сертификат для mTLS: выпуск своим центром через openssl, проверка клиента директивой ssl_verify_client в Nginx и тест командой curl.

Подробности по разделам

Что такое клиентский сертификат и чем он отличается от серверного

Не путайте его с сертификатом электронной подписи: тот подписывает документы, а клиентский подтверждает подключение к серверу.

Когда нужен клиентский сертификат, а когда хватит пароля

Два ответа, и подсказка скажет, подходит ли mTLS

Как выпустить клиентский сертификат своим центром сертификации

Форматы сертификатов и ключей: pem, crt, key, pfx.

Как включить проверку клиентского сертификата в Nginx

Проверка с сертификатом и без него: Второй запрос получит ответ 400 с текстом об отсутствии нужного сертификата. В Apache те же задачи решают директивы SSLVerifyClient require и SSLCACertificateFile. Для отзыва сертификатов в Nginx есть директива ssl_crl со списком отозванных.

Ключевые цифры

Let's Encrypt прекратил выдачу сертификатов с назначением clientAuth: профиль для них закрыт 8 июля 2026 года.
Откройте файл.p12 или.pfx и импортируйте в хранилище «Личное»: Chrome и Edge на Windows берут сертификаты из системы.
Источники цифр на этой странице: SSL-сертификаты Таймвеб, timeweb.com/ru/services/domains/ssl, проверено 19 октября 2026; Let's Encrypt: документация, letsencrypt.org/docs, проверено 19 октября 2026; Let's Encrypt: прекращение выдачи сертификатов с TLS Client Authentication, letsencrypt.org/2025/05/14/ending-tls-client-authentication, проверено 19 октября 2026.

Термины на странице

TLS: TLS это протокол шифрования, на котором работает HTTPS. Название SSL осталось по привычке.
PEM: PEM это текстовый формат файлов сертификатов и ключей, файлы .crt и .key часто в нём же.
Root-доступ: Root-доступ это права администратора на сервере: можно ставить любые программы и менять любые настройки.
Apache: Apache это веб-сервер. На хостинге с ним работают файлы .htaccess.
CSR: CSR это запрос на выпуск сертификата: в нём открытый ключ и данные о домене.
Панель управления: Панель управления сервером позволяет ставить сайты, базы и почту без командной строки.

Что проверить

Выпустите сертификат после того, как домен указывает на сервер.
Проверьте, что установлена вся цепочка сертификатов.
Включите перенаправление с HTTP на HTTPS.
Выберите конфигурацию по памяти и диску под задачу, процессор обычно вторичен.
Проверьте тип виртуализации: KVM даёт свою систему и гарантированные ресурсы.
Уточните, входит ли IPv4 и сколько стоит трафик сверх пакета.