Клиентский сертификат: что такое mTLS и как его настроить, коротко и с данными
Конспект страницы: 4 раздела коротко, данные на 19 октября 2026 и ответы на 4 вопроса. Полный разбор с примерами: Клиентский сертификат: что такое mTLS и как его настроить.
Коротко
Главная / Установка / Клиентский сертификат Клиентский сертификат это файл, по которому сервер узнаёт подключающегося человека или программу: как пароль, только проверяется на уровне TLS. Когда сертификаты предъявляют обе стороны, и сервер, и клиент, соединение называют mTLS (взаимный TLS). Такие сертификаты выпускают собственным центром сертификации, а не публичным.
Конспект по разделам
Что такое клиентский сертификат и чем он отличается от серверного
Обычный сертификат сайта доказывает клиенту, что сервер настоящий. Клиентский работает в обратную сторону: сервер просит у подключившегося сертификат, а тот подтверждает владение закрытым ключом. Порядок обмена описан в разделе про рукопожатие TLS.
Когда нужен клиентский сертификат, а когда хватит пароля
Применяют там, где круг подключающихся известен заранее: панели управления и внутренние сайты, API для партнёров и банков, связь между сервисами внутри системы, корпоративный Wi-Fi с проверкой устройств (EAP-TLS). Преимущество перед паролем: ключ не вводят руками и он не уходит на сервер, поэтому его не подобрать и труднее выманить фишинговой страницей. Для публичного сайта и магазина клиентский сертификат не нужен: покупатели не будут его устанавливать.
Как выпустить клиентский сертификат своим центром сертификации
Нужны три шага: создать центр сертификации, сделать ключ и запрос клиента, подписать запрос с назначением clientAuth. Устройство запроса описано в разделе про CSR, а общий принцип в разделе про центр сертификации. Файл.p12 содержит ключ, поэтому передавайте его защищённым способом и задайте пароль.
Как включить проверку клиентского сертификата в Nginx
Серверный сертификат остаётся обычным, например от Let's Encrypt: браузеры должны ему доверять. Клиентские проверяются отдельно, по файлу вашего центра сертификации. Файл client-ca.crt это ca.crt из предыдущего шага.
Данные
| Серверный сертификат | Клиентский сертификат | |
|---|---|---|
| Кого подтверждает | Сайт или сервер | Человека, устройство или сервис |
| Кто проверяет | Браузер или программа | Сервер |
| Кто выпускает | Публичный центр, например Let's Encrypt | Ваш центр сертификации |
| Назначение в сертификате | serverAuth | clientAuth |
Данные на 19 октября 2026.
Вопросы и ответы
Чем клиентский сертификат отличается от серверного SSL-сертификата?
Серверный доказывает клиенту, что сайт настоящий, и выдаётся публичным центром. Клиентский подтверждает личность подключающегося перед сервером и выпускается вашим центром сертификации с назначением clientAuth.
Можно ли получить клиентский сертификат у Let's Encrypt?
Нет. Let's Encrypt прекратил выдачу сертификатов с назначением clientAuth: профиль для них закрыт 8 июля 2026 года. Центр советует для проверки клиентов использовать собственный центр сертификации.
Как установить клиентский сертификат в браузер?
Откройте файл.p12 или.pfx и импортируйте в хранилище «Личное»: Chrome и Edge на Windows берут сертификаты из системы. В Firefox импорт делают в настройках, в разделе «Ваши сертификаты».
Что такое mTLS?
Это TLS, в котором паспорта предъявляют оба: сервер показывает свой сертификат клиенту, а клиент свой серверу. Без сертификата клиента сервер отвечает отказом.