Как правильно поменять ssl сертификат на сайте с включенным HSTS?

Question

[Cognac]

Здравствуйте. Не так давно мне под крыло перешел сайт с истекающим сроком действия сертификата. Вместо перевыпуска сертификата у старого удостоверяющего центра, я решил попробовать Let's encrypt. Работает. Но. На старом сайте был включен HSTS. Я указал нужные sha256 суммы и все вроде бы хорошо. НО. Стали поступать жалобы на то, что сайт не доступен. Ошибка в Firefox: MOZILLA_PKIX_ERROR_KEY_PINNING_FAILURE. В Chrome аналогичная. Проблема не единичная. keep-alive для старого сертификата был указан равным году.
Что можно сделать в данной ситуации? Вернуть старого провайдера услуги - это понятно. Но как тогда менять удостоверяющий центр, если такая необходимость возникнет?
Отключение HSTS не помогает.

Comments

[cthu1hu]

https://linux-audit.com/delete-a-hsts-key-pin-in-c...
тут кратенько что делать

Answer 1

[Cognac]

Спасибо за ответ и извините за путаницу с терминологией.
Вы пишете: не справиться. Не справиться совсем? Даже путем покупки сертификата у предыдущего удостоверяющего центра?
Там в заголовке был указан не один sha256, а несколько. Вероятно, это отпечатки сертификатов, которые стоят выше в цепочке. То есть сертификатов удостоверяющего центра. В таком случае, если эти сертификаты не менялись, ошибка пропадет, правильно?