HTTPS и SSL-сертификат: зачем он сайту и как перейти без потерь

Значок замка в адресной строке стал настолько привычным, что его отсутствие сразу настораживает. Если сайт работает по HTTP, браузеры помечают его как «Не защищено», особенно на страницах с формами. Посетитель, который собирался оставить телефон, может передумать.

HTTPS сегодня — обязательный стандарт для любого сайта, включая простые сайты-визитки. Разберём, зачем он нужен и как перейти на него правильно.

Что такое HTTPS и SSL

HTTPS — защищённая версия протокола, по которому браузер обменивается данными с сайтом. Данные шифруются, и их невозможно прочитать или подменить по пути — например, в общественной сети Wi-Fi.

SSL-сертификат (технически сейчас используется протокол TLS, но название SSL прижилось) — цифровой документ, который подтверждает, что сайт принадлежит указанному домену, и позволяет установить зашифрованное соединение.

Зачем сайту HTTPS

Защита данных посетителей

Имена, телефоны, адреса почты, сообщения из форм, пароли от личных кабинетов передаются в зашифрованном виде.

Доверие

Браузер не показывает предупреждений. Для коммерческого сайта это вопрос конверсии: предупреждение «Не защищено» рядом с формой заявки снижает количество обращений.

SEO

Поисковые системы учитывают безопасность соединения. HTTPS — один из сигналов качества страницы, а для пользователей поисковиков — признак надёжного сайта.

Современные возможности браузера

Многие функции — например, геолокация, уведомления, ряд современных технологий ускорения загрузки — работают только на защищённых сайтах.

Какие бывают сертификаты

DV — проверка домена

Подтверждает только право на домен. Выпускается автоматически за минуты. Бесплатные сертификаты, которые предоставляют многие хостинги, относятся к этому типу. Для большинства сайтов компаний этого достаточно.

OV — проверка организации

Дополнительно проверяется существование компании. Используется организациями, которым важно подтвердить юридическое лицо.

EV — расширенная проверка

Самая строгая проверка компании. Раньше браузеры выделяли такие сайты особым образом, сейчас визуальная разница почти исчезла.

Wildcard

Один сертификат на домен и все его поддомены — удобно, если у компании много поддоменов.

Для шифрования все типы одинаково надёжны. Разница только в уровне проверки владельца.

Как перевести сайт на HTTPS

1. Выпустите и установите сертификат

На большинстве хостингов это делается в панели управления. Включите автоматическое продление — истёкший сертификат приведёт к пугающему предупреждению в браузере.

2. Настройте редирект

Все запросы по HTTP должны постоянным редиректом 301 вести на HTTPS-версию той же страницы. Одним шагом, без цепочек: http://www.example.com/page сразу на https://example.com/page. Подробнее о редиректах — в статье о редиректах при редизайне.

3. Исправьте смешанный контент

Если на HTTPS-странице изображения, стили или скрипты загружаются по HTTP, браузер может их заблокировать или показать предупреждение. Замените все внутренние ссылки на ресурсы на HTTPS или относительные адреса, проверьте сторонние скрипты и встраивания.

4. Обновите внутренние ссылки и canonical

Ссылки в меню, текстах, sitemap и canonical должны указывать на HTTPS-адреса.

5. Обновите данные в вебмастерах и аналитике

Добавьте HTTPS-версию в Search Console, проверьте основное зеркало в Яндекс.Вебмастере, обновите адрес сайта в настройках аналитики и рекламных кабинетов.

6. Включите HSTS

Заголовок HSTS сообщает браузеру, что сайт всегда нужно открывать по HTTPS. Включайте его после того, как убедились, что всё работает.

Частые проблемы

• сертификат истёк, потому что не настроено автопродление;
• сертификат выпущен только для домена без www, а сайт открывается и с www — браузер показывает ошибку;
• смешанный контент: часть картинок не загружается;
• цепочка редиректов: http → https → без www → без слеша;
• сайт за прокси-сервером формирует ссылки с http, потому что не знает, что соединение защищено, — это нужно учитывать в настройках приложения.

HTTPS — не вся безопасность

Важно понимать, что сертификат защищает только канал передачи данных между браузером и сервером. Он не защищает сайт от взлома через уязвимости в коде, слабые пароли или устаревшие плагины. Замок в адресной строке означает, что соединение зашифровано, а не что сайт безопасен во всех отношениях. Поэтому HTTPS — лишь один из элементов: к нему нужны регулярные обновления, надёжная авторизация в админ-панели, резервные копии и мониторинг.

Почта и поддомены

Не забудьте о поддоменах: если у компании есть отдельные адреса для личного кабинета, документации или тестовой версии, им тоже нужны сертификаты. Иначе пользователь, перейдя по ссылке с основного сайта, увидит предупреждение браузера и решит, что что-то не так.

Как проверить

• откройте сайт по разным вариантам адреса и убедитесь, что все ведут на одну HTTPS-версию;
• проверьте, нет ли предупреждений в консоли браузера о смешанном контенте;
• онлайн-сервисы проверки SSL покажут срок действия сертификата и корректность настройки.

Итог

HTTPS — базовое требование безопасности и доверия, а переход на него при правильной настройке проходит без потери позиций. Если ваш сайт до сих пор работает по HTTP или браузер показывает предупреждения, это стоит исправить в первую очередь. Все сайты, которые я делаю, работают по HTTPS с правильными редиректами, а на существующих сайтах я настраиваю защищённое соединение в рамках технической поддержки. Подробнее о безопасности — в статье о защите сайта от взлома. Оставьте заявку.