SSL-сертификат и HTTPS: что это и зачем

Замок в адресной строке браузера давно стал для посетителей признаком того, что сайту можно доверять. За этим значком стоит SSL-сертификат и протокол HTTPS, которые шифруют данные между браузером и сервером. Разберём простым языком, как это работает, какие бывают сертификаты и что случится, если оставить сайт без защиты.

Что такое SSL и HTTPS простыми словами

Когда человек открывает сайт, его браузер обменивается данными с сервером: запрашивает страницы, отправляет заполненные формы, передаёт логины и пароли. По обычному протоколу HTTP эти данные идут в открытом виде. Любой, кто находится «на пути» — владелец публичной сети Wi-Fi в кафе, злоумышленник в той же сети, недобросовестный провайдер, — теоретически может их прочитать или подменить.

HTTPS — это тот же HTTP, но с шифрованием. Перед обменом данными браузер и сервер договариваются о ключах, и дальше вся информация передаётся в зашифрованном виде. Для этого серверу нужен SSL-сертификат — цифровой документ, который подтверждает, что сайт действительно принадлежит тому домену, к которому обращается пользователь. Строго говоря, современный протокол называется TLS, а SSL — его устаревший предшественник, но по привычке сертификаты до сих пор называют SSL.

Сертификат выдаёт удостоверяющий центр — организация, которой доверяют браузеры. Браузер проверяет подпись центра, срок действия сертификата и соответствие домена. Если всё в порядке, в адресной строке появляется значок замка, если нет — пользователь видит предупреждение о небезопасном соединении.

Зачем HTTPS обычному сайту компании

Частый вопрос владельцев небольших сайтов: «У меня нет онлайн-оплаты, зачем мне шифрование?» Причин несколько, и почти все они напрямую влияют на заявки.

• Доверие посетителей. Современные браузеры помечают сайты без HTTPS как «Не защищено». Для человека, который собирается оставить телефон или e-mail в форме, такая надпись — серьёзный повод уйти.
• Защита персональных данных. Любая форма обратной связи собирает персональные данные: имя, телефон, почту. Закон обязывает оператора обеспечивать их защиту, и шифрование передачи — базовая мера.
• Поисковое продвижение. Яндекс и Google учитывают безопасность соединения. HTTPS не выведет сайт в топ сам по себе, но его отсутствие — минус к доверию поисковика и потенциальная причина уступить конкурентам.
• Защита от подмены контента. Без шифрования в страницу по пути к пользователю можно встроить чужую рекламу или вредоносный код. HTTPS исключает такое вмешательство.
• Работа современных технологий. Многие функции браузеров — геолокация, push-уведомления, часть возможностей платёжных систем и сервисов аналитики — доступны только на защищённых сайтах.

Какие бывают SSL-сертификаты

Сертификаты различаются уровнем проверки владельца и количеством защищаемых доменов. Шифрование при этом одинаково надёжное — разница именно в том, насколько тщательно удостоверяющий центр проверил, кто стоит за сайтом.

Тип	Что проверяется	Кому подходит
DV (Domain Validation)	Только право управления доменом	Сайты-визитки, блоги, лендинги, большинство корпоративных сайтов
OV (Organization Validation)	Домен и факт существования организации	Компании, которым важно показать юридическое лицо в данных сертификата
EV (Extended Validation)	Расширенная проверка документов компании	Банки, крупные площадки, финансовые сервисы

Wildcard и мультидоменные сертификаты

Обычный сертификат защищает один домен (и, как правило, его версию с www). Если у сайта есть поддомены — например, отдельный раздел для каждого филиала или региона, — удобнее wildcard-сертификат, который действует на все поддомены первого уровня. Мультидоменный сертификат позволяет защитить несколько разных доменов одним документом, что удобно группам компаний с несколькими сайтами.

Бесплатные и платные сертификаты

Бесплатные DV-сертификаты обеспечивают такое же шифрование, как платные. Их выдают на короткий срок, обычно на три месяца, и продлевают автоматически. Большинство хостинг-провайдеров подключают их в пару кликов. Платные сертификаты имеют смысл, когда нужна проверка организации, расширенная финансовая гарантия от удостоверяющего центра или специфические требования партнёров.

Как перевести сайт на HTTPS без потерь

Установить сертификат — только половина дела. Главное — правильно переключить сайт, чтобы не потерять позиции в поиске и не получить «сломанные» страницы.

1. Выпустить и установить сертификат на хостинге или сервере, проверить, что сайт открывается по адресу с https.
2. Заменить внутренние ссылки на страницах, в меню, шаблонах и базе данных на защищённые или относительные.
3. Исправить смешанный контент. Если на HTTPS-странице изображения, скрипты или шрифты подгружаются по HTTP, браузер покажет предупреждение или вовсе заблокирует их.
4. Настроить постоянный 301-редирект со всех HTTP-адресов на соответствующие HTTPS-адреса, чтобы пользователи и поисковые роботы попадали на правильную версию.
5. Обновить карту сайта и robots.txt, указать в них новые адреса.
6. Сообщить поисковикам о переезде через Яндекс Вебмастер и Google Search Console, добавить HTTPS-версию сайта.
7. Проверить формы, оплату, интеграции и счётчики аналитики — всё, что обменивается данными с внешними сервисами.

При корректном переезде позиции сайта могут ненадолго колебаться, пока поисковые системы переиндексируют страницы, но затем стабилизируются. Проблемы возникают, когда забывают про редиректы или оставляют смешанный контент.

Типичные проблемы с сертификатами

Даже когда HTTPS уже настроен, время от времени возникают неприятности. Большинство из них легко предотвратить.

• Истёк срок действия. Самая частая причина предупреждений в браузере. Автопродление иногда перестаёт работать — например, после смены DNS-записей или переноса сайта. Нужен контроль срока.
• Сертификат не покрывает версию с www или поддомен. Посетитель, набравший адрес иначе, видит ошибку.
• Неполная цепочка сертификатов. На одних устройствах сайт открывается нормально, на других — с ошибкой. Лечится правильной установкой промежуточных сертификатов.
• Устаревшие протоколы шифрования на сервере. Старые версии TLS считаются небезопасными, их стоит отключать в настройках сервера.
• Бесконечный редирект после неправильной настройки перенаправлений — сайт не открывается вовсе.

Как проверить свой сайт

Откройте сайт в браузере и нажмите на значок замка слева от адреса: там будет видно, кем выдан сертификат и до какого срока он действует. Попробуйте открыть сайт по адресам с http, с www и без — во всех случаях должно происходить перенаправление на одну защищённую версию. Пролистайте ключевые страницы и убедитесь, что браузер не ругается на смешанный контент.

Сколько стоит HTTPS и кто этим занимается

Для большинства сайтов малого бизнеса сам сертификат бесплатен — его предоставляет хостинг. Платные DV-сертификаты стоят от нескольких сотен рублей в год, сертификаты с проверкой организации — дороже. Основные затраты связаны не с сертификатом, а с работой по переводу сайта: исправлением ссылок, настройкой редиректов и проверкой всех функций.

Когда сайт создаётся с нуля, HTTPS настраивается сразу и отдельно не оплачивается. При редизайне или переносе старого проекта переход на защищённый протокол — стандартная часть работ. Для уже работающих сайтов это обычно разовая задача, которую удобно включить в техподдержку.

Вывод: HTTPS — обязательный минимум

Защищённое соединение сегодня — не опция, а базовое требование к любому сайту компании, от простой визитки до интернет-магазина. Оно защищает данные клиентов, снимает пугающие предупреждения браузера и поддерживает доверие поисковых систем. Главное — не просто поставить сертификат, но и корректно перевести на него весь сайт, а затем следить за сроками продления.

Если ваш сайт до сих пор работает по HTTP или браузер показывает ошибки сертификата, обращайтесь в «Студию-125». Мы настроим HTTPS без потери позиций, исправим смешанный контент и возьмём сайт на сопровождение, чтобы сертификат всегда продлевался вовремя.