docs: права /etc/ssl/sac — root:ssl-cert, www-data в группе

docs/install-ubuntu-24.04-native.md

@@ -207,7 +207,14 @@ nginx ожидает **два PEM-файла**:
 | `/etc/ssl/sac/privkey.pem` | Закрытый ключ |
 
 ```bash
-sudo mkdir -p /etc/ssl/sac && sudo chmod 750 /etc/ssl/sac
+# каталог: группа ssl-cert, чтобы www-data мог зайти в каталог (chmod 750)
+sudo mkdir -p /etc/ssl/sac
+sudo chown root:ssl-cert /etc/ssl/sac
+sudo chmod 750 /etc/ssl/sac
+
+# nginx читает ключ через группу ssl-cert (на чистой Ubuntu в группе часто только postgres)
+sudo groupadd -f ssl-cert
+sudo usermod -aG ssl-cert www-data
 ```
 
 Скопировать с рабочего ПК (пример):
@@ -222,9 +229,20 @@ sudo chmod 644 /etc/ssl/sac/fullchain.pem
 sudo chmod 640 /etc/ssl/sac/privkey.pem
 sudo chown root:root /etc/ssl/sac/fullchain.pem
 sudo chown root:ssl-cert /etc/ssl/sac/privkey.pem
-sudo -u www-data test -r /etc/ssl/sac/privkey.pem && echo OK
+# каталог снова root:ssl-cert (если меняли владельца при mv)
+sudo chown root:ssl-cert /etc/ssl/sac
+sudo chmod 750 /etc/ssl/sac
+
+# worker nginx должен подхватить группу www-data
+sudo systemctl restart nginx
+
+sudo -u www-data test -x /etc/ssl/sac && echo dir OK || echo dir FAIL
+sudo -u www-data test -r /etc/ssl/sac/fullchain.pem && echo fullchain OK || echo fullchain FAIL
+sudo -u www-data test -r /etc/ssl/sac/privkey.pem && echo key OK || echo key FAIL
 ```
 
+Если `test -r privkey.pem` молчит: каталог был `root:root` при `750` — у `www-data` нет права `x` на `/etc/ssl/sac/`; либо `www-data` не в `ssl-cert`. См. [ssl-certificate.md §3](ssl-certificate.md#3-каталог-и-права-на-сервере).
+
 Если PFX с другого Linux — `scp` на SAC: [ssl-certificate.md §4.3](ssl-certificate.md#43-забрать-файл-с-другого-linux-сервера-scp).  
 Распаковка PFX на Ubuntu 24.04: **`openssl pkcs12 -legacy`** — [§4.4](ssl-certificate.md#44-распаковка-pfx--p12-на-сервере-ubuntu-2404).