Ещё недавно HTTPS считался чем-то необходимым только банкам и интернет-магазинам. Сегодня ситуация обратная: браузеры прямо предупреждают посетителей, что соединение с сайтом без сертификата небезопасно, поисковые системы учитывают защищённый протокол при ранжировании, а многие сервисы — от платёжных систем до сторонних виджетов — просто отказываются работать по HTTP. Если ваш сайт всё ещё открывается без замочка в адресной строке, эта статья для вас. А если замочек есть, но вы не уверены, что переход выполнен правильно, — тоже.
Что делает SSL-сертификат
Сертификат решает две задачи. Первая — шифрование: данные, которые посетитель вводит на сайте (имя, адрес, пароль, данные карты), передаются в зашифрованном виде, и перехватить их по дороге, например в публичной сети Wi-Fi, невозможно. Вторая — подтверждение подлинности: браузер убеждается, что сайт, с которым он соединяется, действительно принадлежит этому домену, а не подставному серверу.
Строго говоря, современные сертификаты работают по протоколу TLS, а название SSL сохранилось по привычке. На практике эти слова используют как синонимы, и мы тоже не будем делать между ними различий.
Какие бывают сертификаты
При выборе сертификата обычно ориентируются на два параметра: уровень проверки владельца и количество доменов, которые он покрывает.
По уровню проверки
- DV — проверка домена. Подтверждается только то, что вы управляете доменом. Выпускается за минуты, бывает бесплатным. Для подавляющего большинства сайтов — визиток, корпоративных сайтов, блогов, небольших магазинов — этого достаточно.
- OV — проверка организации. Центр сертификации дополнительно проверяет существование компании. Шифрование такое же, но в данных сертификата указано название организации.
- EV — расширенная проверка. Самая строгая процедура с проверкой документов. Раньше такие сертификаты выделялись в браузерах особым образом, сейчас визуальная разница практически исчезла, поэтому их выбирают в основном по корпоративным требованиям.
По охвату доменов
- Однодоменный — для одного адреса, обычно вместе с версией «www».
- Wildcard — для домена и всех его поддоменов первого уровня. Удобно, если у вас много поддоменов: магазин, блог, личный кабинет.
- Мультидоменный — для нескольких разных доменов в одном сертификате.
Совет от студии: шифрование у бесплатного и платного сертификата одинаково надёжное. Платить имеет смысл за расширенную проверку организации, гарантийные обязательства центра сертификации или особые требования к поддоменам — но не за «более сильную защиту».
Как правильно перевести сайт на HTTPS
Установить сертификат — это примерно четверть работы. Остальное — корректно перенастроить сайт, чтобы он полностью работал по новому протоколу и не потерял позиции в поиске. Мы выполняем переход в следующем порядке.
- Резервная копия файлов и базы данных — на случай, если что-то пойдёт не так.
- Выпуск и установка сертификата на сервере. Проверка, что сайт открывается по HTTPS без предупреждений браузера.
- Смена адреса сайта в настройках CMS на версию с HTTPS.
- Замена адресов в базе данных. В текстах страниц, настройках виджетов и меню могут храниться абсолютные ссылки с HTTP. Их нужно аккуратно заменить, учитывая особенности хранения сериализованных данных, иначе часть настроек сломается.
- Исправление смешанного контента — об этом подробнее ниже.
- Настройка постоянного перенаправления 301 со всех HTTP-адресов на соответствующие HTTPS-адреса.
- Обновление внешних сервисов: счётчиков аналитики, панелей вебмастеров, рекламных кампаний, платёжных систем, CRM, ссылок в email-рассылках.
- Проверка и мониторинг индексации в течение нескольких недель после перехода.
Смешанный контент — главная ловушка
Смешанным называют ситуацию, когда сама страница загружается по HTTPS, но отдельные её элементы — картинки, скрипты, стили, шрифты, встроенные видео — подтягиваются по старому HTTP. Браузер реагирует на это по-разному: может убрать замочек, показать предупреждение или вовсе заблокировать незащищённые скрипты, из-за чего ломаются слайдеры, формы и меню.
Источники смешанного контента обычно такие:
- Абсолютные ссылки на изображения в текстах страниц и записей.
- Жёстко прописанные адреса в файлах темы оформления.
- Настройки плагинов и конструкторов страниц, сохранённые в базе.
- Сторонние виджеты и скрипты, подключённые по устаревшим адресам.
- Фоновые изображения, указанные в стилях.
Найти их помогает консоль разработчика в браузере: она прямо перечисляет все незащищённые ресурсы на странице. На больших сайтах мы используем автоматическое сканирование всех страниц, чтобы не пропустить проблему на какой-нибудь давно забытой странице.
Как не потерять позиции в поиске
Для поисковой системы HTTP- и HTTPS-версии — это технически разные адреса. Если переход выполнен небрежно, поисковик может посчитать их дублями или потерять накопленный «вес» страниц. Чтобы этого не произошло, важно соблюдать несколько условий:
| Что сделать | Зачем |
|---|---|
| Постоянное перенаправление 301 для каждой страницы | Передаёт накопленный вес старых адресов новым |
| Перенаправление без цепочек | Цепочка «HTTP — www — HTTPS» замедляет обход и теряет часть сигнала |
| Канонические ссылки на HTTPS-адреса | Исключают путаницу с дублями |
| Обновлённая карта сайта | Помогает быстрее проиндексировать новые адреса |
| Добавление HTTPS-версии в панели вебмастеров | Позволяет следить за переиндексацией и ошибками |
| Исправление внутренних ссылок | Исключает лишние перенаправления внутри сайта |
При правильном переходе возможны небольшие колебания позиций в первые недели, но затем они стабилизируются. Если вы планируете переход вместе с другими изменениями — сменой дизайна или структуры, — лучше разнести их по времени, чтобы проще было понять причину возможных колебаний. Подробнее о том, как мы сопровождаем такие изменения, — на странице SEO-продвижения.
Продление сертификата: про это забывают чаще всего
Сертификаты выдаются на ограниченный срок, а бесплатные — на довольно короткий. Обычно продление настраивается автоматически, но автоматика иногда ломается: после переезда на другой сервер, смены DNS, изменения настроек веб-сервера или отключения задания планировщика. В результате однажды утром посетители видят во весь экран предупреждение «Ваше подключение не защищено», и большинство из них просто закрывает вкладку.
Поэтому мы обязательно добавляем срок действия сертификата в мониторинг с предупреждением за несколько недель до истечения. Это простая мера, которая избавляет от одной из самых нелепых причин потери клиентов.
Частые вопросы о HTTPS
Замедлит ли HTTPS мой сайт?
На современных серверах — практически нет. Установка защищённого соединения требует ничтожных ресурсов, а современные версии протокола HTTP, которые работают только поверх HTTPS, наоборот, ускоряют загрузку страниц с большим количеством файлов. В большинстве проектов после перехода мы видим ту же или даже лучшую скорость.
Нужен ли сертификат, если на сайте нет форм и оплаты?
Да. Браузеры помечают предупреждением любой сайт без HTTPS, независимо от того, вводят на нём данные или нет. Кроме того, без шифрования содержимое страницы может быть подменено по дороге к посетителю — например, в недобросовестной публичной сети могут внедрить чужую рекламу.
Что делать, если сертификат установлен, а замочка нет?
Почти всегда причина в смешанном контенте или в неправильно настроенной цепочке промежуточных сертификатов на сервере. Откройте консоль разработчика в браузере — там будет указано, какой ресурс загружается небезопасно. Если ошибка связана с цепочкой, её исправляют в настройках веб-сервера или панели хостинга.
Можно ли вернуться обратно на HTTP?
Технически можно, но смысла в этом нет, а для позиций в поиске такие метания вредны. Если после перехода что-то сломалось, правильнее исправить конкретную проблему, чем откатываться.
Итог
HTTPS сегодня — обязательный минимум для любого сайта. Для большинства проектов подходит бесплатный DV-сертификат, а основная работа заключается не в его установке, а в корректном переходе: замене адресов в базе, устранении смешанного контента, настройке перенаправлений без цепочек, обновлении внешних сервисов и контроле продления. Если вы хотите перевести сайт на HTTPS или подозреваете, что переход когда-то был выполнен с ошибками, мы проверим текущие настройки и всё исправим — напишите нам.
