Значок замка в адресной строке давно стал нормой. Если его нет, браузер пишет «Не защищено», а некоторые посетители сразу закрывают страницу, особенно когда нужно оставить телефон или оплатить заказ. Но сам по себе замок ещё не значит, что всё настроено правильно. В статье разберём, что такое SSL-сертификат и HTTPS, какие ошибки встречаются чаще всего и что владельцу сайта проверить самому за 15 минут.
Что такое HTTPS и SSL-сертификат простыми словами
HTTPS это защищённый способ передачи данных между браузером посетителя и сервером сайта. Всё, что человек вводит в формы, и всё, что сайт ему показывает, передаётся в зашифрованном виде. Посторонний в той же сети Wi-Fi не сможет прочитать или подменить эти данные.
SSL-сертификат (сейчас технически используется протокол TLS, но название SSL прижилось) это электронный документ, который подтверждает, что сайт действительно принадлежит этому домену, и позволяет включить шифрование. Сертификат выпускается на конкретный домен и на определённый срок, после чего его нужно продлевать.
Зачем это бизнесу
- Доверие. Надпись «Не защищено» рядом с адресом выглядит как предупреждение. Человеку проще уйти к конкуренту, чем разбираться.
- Формы и персональные данные. На сайте собирают имена, телефоны, почту. Передавать их без шифрования неправильно и с точки зрения закона о персональных данных. Подробнее в статье «Согласие на обработку персональных данных на сайте».
- Оплата. Платёжные сервисы требуют HTTPS для приёма платежей.
- Поиск. Яндекс и Google учитывают безопасность сайта. Сайт без HTTPS хуже выглядит и в выдаче, и в браузере.
- Работа функций браузера. Ряд современных возможностей, например определение местоположения или часть счётчиков и виджетов, работает только на защищённых страницах.
Какие бывают сертификаты
| Вид | Что подтверждает | Кому подходит |
|---|---|---|
| DV, проверка домена | Что вы управляете доменом | Большинству сайтов малого бизнеса, в том числе с формами и магазинам |
| OV, проверка организации | Домен и существование компании | Компаниям, которым важно показать юридическое лицо в данных сертификата |
| EV, расширенная проверка | Подробная проверка компании | Банкам и крупным сервисам. Браузеры сейчас почти не выделяют такие сертификаты визуально |
Для обычного сайта услуг или интернет-магазина достаточно сертификата с проверкой домена. Такие сертификаты многие хостинги выпускают бесплатно и продлевают автоматически. Шифрование у них такое же, как у платных. Разница платных видов в проверке владельца и дополнительных условиях от выпускающего центра.
Отдельно бывают сертификаты на один домен, на домен с поддоменами (wildcard, вида *.вашсайт.ru) и на несколько доменов. Если у вас есть поддомены, например магазин или личный кабинет на отдельном адресе, проверьте, что сертификат распространяется и на них.
Что проверить самому: 8 пунктов
1. Замок есть на всех страницах
Откройте главную, страницу услуги, контакты, корзину, страницу с формой. Везде в адресной строке должен быть замок без предупреждений. Нажмите на него: браузер покажет, что соединение защищено и сертификат действителен.
2. Срок действия сертификата
В том же окне по замку можно открыть сведения о сертификате и посмотреть дату окончания. Бесплатные сертификаты обычно выпускаются на короткий срок и продлеваются автоматически. Убедитесь, что автопродление включено: просроченный сертификат приводит к полноэкранному предупреждению браузера, и почти никто не нажимает «всё равно перейти».
3. Адрес с http перенаправляет на https
Наберите адрес вручную с http://, без буквы s. Сайт должен сам перебросить на https://. Если открывается незащищённая версия, у сайта два адреса, и часть посетителей видит «Не защищено».
4. Один главный адрес
Проверьте четыре варианта: http с www, http без www, https с www, https без www. Все должны вести на один и тот же главный адрес постоянным перенаправлением (301). Иначе поисковики видят дубли, а вес ссылок делится между версиями. Как правильно настраивать перенаправления, описано в статье «Как перенести сайт и не потерять позиции в поиске».
5. Нет смешанного содержимого
Бывает, что страница открыта по https, а картинка, скрипт или шрифт подгружается по старому адресу http. Браузер в таком случае блокирует элемент или показывает замок с предупреждением. Проверить просто: откройте страницу в Chrome, нажмите F12, вкладка «Консоль». Ошибки со словами Mixed Content укажут на конкретные файлы. Чаще всего это старые картинки в текстах страниц, вставленные с полным адресом http.
6. Поддомены и почта
Если на сайте есть поддомены, проверьте их так же. Форма, которая отправляет данные на другой адрес без https, обесценивает защиту основного сайта.
7. Адрес в Вебмастере и Метрике
После перехода на HTTPS в Яндекс Вебмастере должен быть добавлен и подтверждён сайт с https. Главным зеркалом должен быть https-адрес. В настройках Метрики адрес сайта тоже стоит обновить. Почему без Вебмастера сайт может пропасть из поиска, рассказали в статье «Почему сайт не находится в Яндексе и что с этим делать».
8. Ссылки в рекламе и на картах
Обновите адреса в объявлениях Яндекс Директа, в карточках Яндекс Карт и 2ГИС, в соцсетях. Перенаправление сработает и так, но лишний переход замедляет загрузку и иногда теряет метки рекламы.
Частые ошибки
- Сертификат выпущен только на домен с www или только без www. Одна из версий открывается с ошибкой.
- Автопродление не сработало. Например, после смены записей DNS или переноса сайта. Об этом узнают от клиентов, которые видят предупреждение.
- Перенаправление по кругу. Неправильная настройка на сервере и в движке, и страница бесконечно перенаправляет сама на себя. Браузер показывает ошибку о слишком большом числе переадресаций.
- Старые ссылки в базе. В текстах страниц и статей остались картинки и ссылки с http. Их нужно заменить, а не полагаться только на перенаправление.
- HSTS включили без проверки. Это настройка, которая заставляет браузер всегда открывать сайт только по https. Полезна, но включать её стоит, когда все поддомены точно работают по https: отменить быстро не получится.
Как перейти на HTTPS, если его ещё нет
- Сделайте резервную копию сайта.
- Выпустите сертификат в панели хостинга на домен с www и без www.
- Проверьте, что сайт открывается по https, и найдите смешанное содержимое.
- Замените в базе старые адреса http на https в текстах и настройках.
- Включите постоянное перенаправление 301 со всех вариантов на главный https-адрес.
- Добавьте https-версию в Яндекс Вебмастер, обновите карту сайта и адрес в robots.txt.
- Обновите адреса в рекламе, картах, соцсетях и счётчиках.
- Через несколько дней проверьте в Вебмастере, что поиск переключился на новый адрес.
Выбор хостинга с бесплатными сертификатами и автопродлением упрощает жизнь. О том, на что ещё смотреть, читайте в статье «Хостинг для сайта: как выбрать и на что смотреть».
Вопросы и ответы
Бесплатный сертификат хуже платного?
По шифрованию нет, оно одинаковое. Платные сертификаты отличаются проверкой компании, сроком действия и дополнительными условиями. Для большинства сайтов малого бизнеса бесплатного сертификата с автопродлением достаточно.
Что будет, если сертификат истечёт?
Браузеры покажут полноэкранное предупреждение о небезопасном соединении. Большая часть посетителей уйдёт, формы и оплата фактически перестанут работать, пока сертификат не продлят.
Защищает ли HTTPS от взлома сайта?
Нет. HTTPS защищает данные в пути между посетителем и сервером. От уязвимостей движка, слабых паролей и устаревших плагинов он не спасает. Об этом статья «Признаки взлома сайта и что делать, если сайт взломали».
Упадут ли позиции при переходе на HTTPS?
При правильных перенаправлениях и настройке зеркала в Вебмастере переход обычно проходит спокойно. Временные колебания возможны, пока поисковик переиндексирует адреса.
Как понять, кто отвечает за продление?
Посмотрите, где выпущен сертификат: в панели хостинга, у регистратора домена или его установил подрядчик вручную. Запишите это в список доступов к сайту, вместе с датой окончания и способом продления.
Нотикс проверит HTTPS на вашем сайте, переведёт его на защищённый адрес без потери позиций, уберёт смешанное содержимое и будет следить за сроком сертификата в рамках технической поддержки.
