SSL-сертификат и HTTPS: зачем и как подключить

Замок в адресной строке и приставка «https» давно перестали быть роскошью: без защищённого соединения браузеры предупреждают посетителей об опасности, поисковые системы относятся к сайту с меньшим доверием, а платёжные сервисы и многие рекламные площадки просто не работают. Разберём, что такое SSL-сертификат, какие бывают виды, как его подключить и что проверить после, чтобы сайт не потерял посетителей и позиции.

Что такое SSL и HTTPS простыми словами

Когда вы открываете сайт по обычному протоколу HTTP, данные между браузером и сервером передаются открытым текстом. Любой, кто находится «посередине» — владелец общей сети в кафе, недобросовестный провайдер, злоумышленник в той же сети, — теоретически может перехватить и прочитать эти данные: логины, пароли, номера телефонов, содержимое корзины. Он может и подменить страницу, например, внедрить в неё чужую рекламу или поддельную форму оплаты.

HTTPS — это тот же протокол, но с шифрованием. Для этого серверу нужен сертификат: цифровой документ, который подтверждает, что сайт действительно принадлежит тому, кто на него претендует, и содержит ключ для шифрования. Технически сегодня используется протокол TLS, а название «SSL» осталось по привычке, поэтому в обиходе говорят «SSL-сертификат». Мы тоже будем так писать.

Что даёт защищённое соединение

• Шифрование. Данные формы заказа, пароли и личные сведения нельзя перехватить в пути.
• Целостность. Содержимое страницы нельзя незаметно изменить по дороге к посетителю.
• Подтверждение подлинности. Браузер проверяет, что вы действительно попали на нужный сайт, а не на его подделку.

Зачем HTTPS коммерческому сайту

Доверие посетителей

Современные браузеры помечают сайты без шифрования как «небезопасные», а при попытке ввести данные в форму показывают дополнительное предупреждение. Для магазина или сайта услуг это серьёзный удар: человек, увидев красную пометку, закрывает страницу, даже если вы честная компания. Замок и слово «https» — минимальный сигнал надёжности.

Поисковое продвижение

Поисковые системы давно учитывают наличие защищённого соединения как один из факторов качества сайта. Само по себе оно не выведет страницу в лидеры, но при прочих равных сайт без HTTPS выглядит слабее. К тому же многие современные технологии, влияющие на скорость и удобство, работают только по защищённому протоколу. В комплексе мер продвижения, которые описаны на странице SEO-продвижения, переход на HTTPS относится к обязательной технической базе.

Безопасность данных и требования площадок

Если на сайте есть формы, личный кабинет, оформление заказов, оплата онлайн, шифрование нужно по здравому смыслу и по требованиям платёжных систем. Законодательство о персональных данных также требует принимать меры для защиты сведений, которые вы собираете, и защищённая передача входит в число базовых мер.

Работа сторонних сервисов

Виджеты, карты, чаты, системы аналитики и рекламные коды часто ожидают защищённый сайт, а при его отсутствии работают с ограничениями или отказываются работать. Кроме того, смешанное содержимое (когда страница открыта по HTTPS, а часть ресурсов загружается по HTTP) блокируется браузерами.

Виды сертификатов

Все сертификаты обеспечивают одинаковый уровень шифрования, различие — в том, насколько тщательно проверяется владелец, и в том, какие домены покрываются.

По количеству доменов

• Одиночный. Защищает один домен, например, основной адрес сайта.
• Универсальный (wildcard). Защищает основной домен и все его поддомены, удобно, если у вас несколько служебных разделов.
• Мультидоменный. Защищает несколько разных доменов одним сертификатом.

Бесплатные и платные

Бесплатные сертификаты с проверкой домена, выпускаемые автоматически, шифруют ничуть не хуже платных. Для большинства сайтов малого и среднего бизнеса их достаточно. Платные имеет смысл рассматривать, если нужна проверка организации, расширенная гарантия, выделенная поддержка или требуется особый тип сертификата. Выбор определяется требованиями проекта, а не «качеством шифрования».

Как подключить SSL-сертификат

Порядок действий зависит от хостинга и движка, но общая схема одинакова.

Особенности интернет-магазинов

В магазине защищённым должно быть не только оформление заказа, но и весь сайт: каталог, корзина, личный кабинет, поиск. Частичная защита создаёт путаницу и смешанное содержимое. В CS-Cart защищённое соединение включается в настройках магазина, а затем проверяются адреса в настройках витрины, модулях оплаты и доставки, шаблонах писем и обмене с внешними системами. Платёжные шлюзы часто требуют, чтобы адреса возврата после оплаты были защищёнными.

Что проверить после подключения

Самые частые проблемы возникают не при установке, а после неё. Пройдите по списку.

• Главная и внутренние страницы открываются с замком и без предупреждений.
• Нет смешанного содержимого: изображения, скрипты, стили, шрифты и виджеты загружаются по HTTPS.
• Старые адреса с HTTP перенаправляются на новые одним переходом, а не цепочкой.
• Для каждой страницы указан канонический адрес с HTTPS.
• Карта сайта содержит защищённые адреса.
• В файле с правилами для поисковых роботов указан правильный адрес карты.
• Защищённая версия добавлена в инструменты вебмастера и аналитику, настроено зеркало.
• Платёжные модули, формы, обмены с учётной системой и почтовые уведомления работают без ошибок.
• В коде счётчиков, баннеров и виджетов нет жёстко прописанных адресов по HTTP.
• Сертификат покрывает и вариант с «www», и вариант без «www», если оба используются.
• Включена настройка, которая подсказывает браузерам всегда использовать защищённое соединение с вашим сайтом (после того, как убедитесь, что всё работает).

Типичные проблемы и как их решить

Смешанное содержимое

Страница открывается по HTTPS, но часть картинок или скриптов загружается по HTTP. Браузер блокирует такие ресурсы или показывает предупреждение. Найдите их с помощью инструментов разработчика в браузере (вкладка с консолью покажет, какие адреса небезопасны) и замените адреса на защищённые либо на относительные. Часто источник — старые описания товаров и статей, где картинки вставлены с полным адресом.

Бесконечные перенаправления

Иногда после включения HTTPS страница бесконечно перезагружается и браузер выдаёт ошибку. Причина обычно в конфликте правил: одно перенаправляет на защищённую версию, а другое возвращает на обычную, либо внешний сервис, стоящий перед сайтом, неверно передаёт информацию о протоколе. Проверьте настройки по очереди, начиная с самого внешнего звена.

Предупреждение о несоответствии имени

Сертификат выпущен на один адрес, а сайт открывается по другому. Например, сертификат оформлен на домен без «www», а посетитель зашёл с «www». Выпустите сертификат, покрывающий оба варианта, и настройте основной адрес с перенаправлением.

Истёкший сертификат

Самая неприятная ситуация, потому что посетители видят страшное предупреждение на весь экран. Включите автоматическое продление, настройте оповещения за несколько недель до окончания срока, назначьте ответственного человека и проверяйте срок действия во время регулярных технических проверок.

Потеря позиций после перехода

Небольшие колебания возможны, но значительное падение говорит об ошибках: нет перенаправлений, дублируются страницы, неверные канонические адреса, остались старые ссылки в карте сайта. Проверьте все пункты из списка выше и дайте поисковым системам время переиндексировать сайт.

Эксплуатация: как не забыть про сертификат

Сертификат — это не «поставил и забыл». У него есть срок действия, и его нужно сопровождать так же, как домен и хостинг.

• Ведите реестр: какой сертификат на каком домене, кем выпущен, когда истекает, кто отвечает за продление.
• Настройте автоматическое продление и независимый внешний контроль срока действия.
• После смены хостинга, переноса сайта или изменения настроек домена проверяйте сертификат заново.
• Следите за новыми поддоменами и служебными разделами: каждый из них тоже должен быть защищён.
• Закрепите ответственность за подрядчиком или сотрудником и включите проверку в регламент технической поддержки.

Если регулярно следить за этим некому, такие задачи удобно передать на техническую поддержку: сертификаты, продление, проверка перенаправлений и мониторинг доступности входят в обычный набор регулярных работ. Подробнее о том, как мы это организуем, расскажем при обращении.

Вопросы и ответы

Итог

Защищённое соединение — обязательный элемент современного сайта: оно защищает посетителей, укрепляет доверие и входит в техническую основу продвижения. Выберите подходящий вид сертификата, подключите его, настройте перенаправления и тщательно проверьте адреса, а затем возьмите под контроль срок действия, чтобы не столкнуться с неприятным сюрпризом. Если нужна помощь с подключением или проверкой, обратитесь к нам через страницу контактов — настроим HTTPS и проверим, что сайт работает корректно.