SSL-сертификат: зачем нужен, какой выбрать и что будет без него

Браузеры давно помечают сайты без HTTPS как «Не защищено», а при вводе данных в форму на такой странице показывают дополнительное предупреждение. Для коммерческого сайта это означает, что часть посетителей уходит, не дочитав первый экран, а часть заявок так и не отправляется. Но сертификат — это не только способ убрать красную надпись. Он защищает данные клиентов, сессии администраторов и сам контент страниц, а ошибки в его настройке способны обрушить и продажи, и позиции в поиске. Разберём, что на самом деле даёт SSL-сертификат, какой выбрать, как правильно его настроить и как проверить, что всё работает.

Что делает сертификат: три задачи

Строго говоря, современные сайты используют протокол TLS, а «SSL» — историческое название, которое прижилось. Сертификат и защищённое соединение решают три задачи одновременно.

• Шифрование. Данные между браузером и сервером нельзя прочитать по дороге — ни в публичном Wi-Fi, ни на узлах провайдера.
• Целостность. Содержимое страницы нельзя незаметно изменить: вставить рекламу, подменить реквизиты для оплаты или добавить вредоносный скрипт.
• Подлинность. Браузер проверяет, что сертификат выпущен для этого домена доверенным удостоверяющим центром, — то есть что посетитель говорит именно с вашим сервером.

В браузер и операционную систему встроен список корневых удостоверяющих центров, которым они доверяют. Корневой центр подписывает промежуточные сертификаты, а промежуточный — сертификат вашего сайта. При каждом подключении браузер проверяет всю цепочку: подпись каждого звена, срок действия, совпадение имени домена и то, не отозван ли сертификат. Если хоть одно звено не сходится, посетитель видит предупреждение. Отсюда практический вывод: сервер должен отдавать не только сертификат сайта, но и промежуточные сертификаты, а имя домена в сертификате должно точно совпадать с адресом, по которому открывают сайт. Большинство «загадочных» ошибок, которые видят только некоторые клиенты, объясняются именно сбоем в цепочке.

Что происходит без HTTPS

Без шифрования всё, что передаётся между посетителем и сайтом, идёт открытым текстом. Любой узел на пути — общественная точка доступа, взломанный роутер, недобросовестный провайдер — может это прочитать и изменить. Последствия вполне конкретные:

• Перехват данных форм: имена, телефоны, адреса, а в худшем случае пароли и данные карт.
• Перехват сессионной куки администратора: зная её, можно войти в панель управления без пароля и второго фактора.
• Подмена контента: встроенная реклама, фишинговая форма оплаты поверх вашей, вредоносные скрипты.
• Недоступность современных возможностей браузера: геолокация, сервис-воркеры, push-уведомления и, как следствие, PWA-приложения работают только на защищённых страницах. Быстрые версии протокола HTTP браузеры тоже используют только поверх TLS.
• Искажение аналитики: при переходе с защищённого сайта на незащищённый источник перехода часто теряется, и трафик записывается в «прямые заходы».
• Предупреждения браузера, которые снижают доверие и конверсию сильнее, чем любой неудачный дизайн.

Чего сертификат не делает

Здесь важно не переоценить защиту. Замок в адресной строке означает, что соединение зашифровано и домен подтверждён, — и только. Он не защищает сайт от взлома через уязвимую CMS или слабый пароль администратора, не шифрует данные в базе и не говорит ничего о честности владельца: мошеннические сайты тоже получают бесплатные сертификаты за пару минут. Поэтому HTTPS — обязательный, но лишь первый пункт в списке. Что ещё входит в базовую защиту, мы разобрали в статье о кибербезопасности для бизнеса.

Типы сертификатов и как выбрать

• DV (проверка домена) — подтверждает только контроль над доменом. Выпускается автоматически за минуты, в том числе бесплатно. Криптографически ничем не хуже остальных.
• OV (проверка организации) — удостоверяющий центр дополнительно проверяет существование компании, её данные указываются в сертификате. Выпуск занимает от нескольких дней.
• EV (расширенная проверка) — самая строгая проверка организации. Раньше браузеры показывали название компании рядом с адресом, сейчас это отображение почти везде убрано, и визуальной разницы для посетителя практически нет.
• Wildcard — покрывает все поддомены одного уровня (*.example.ru). Удобен, когда поддоменов много и они появляются регулярно.
• Мультидоменный (SAN) — один сертификат на несколько разных доменов.

Как выбрать под свою задачу:

• Сайт компании, лендинг, блог, интернет-магазин, личный кабинет — бесплатного или недорогого DV-сертификата с автопродлением достаточно. Уровень шифрования тот же.
• B2B-портал или сервис, где клиенту важно видеть подтверждённые данные организации в сертификате, или требования партнёров и тендеров, — OV.
• Требования регулятора или отрасли, где явно прописан тип проверки, — то, что требуется, без самодеятельности.
• Много поддоменов: региональные версии, кабинеты клиентов на отдельных адресах — wildcard.
• Работа с государственными системами и отраслевыми контурами, где нужны сертификаты российских удостоверяющих центров, — их ставят в дополнение к общепринятому, учитывая, что не все браузеры им доверяют по умолчанию.

Платные сертификаты стоит выбирать не за «более сильную защиту» — её нет, — а за проверку организации, поддержку удостоверяющего центра и условия, которые вам действительно нужны. Если продавец обещает, что платный сертификат «лучше шифрует», это повод насторожиться.

Срок действия и автопродление

Истёкший сертификат хуже отсутствующего: браузер показывает полноэкранное предупреждение, через которое проходит мало кто из посетителей, а интеграции и мобильные приложения просто перестают соединяться с сервером. Отрасль последовательно сокращает максимальный срок жизни сертификатов — бесплатные DV-сертификаты и так живут 90 дней, а для платных допустимый срок в ближайшие годы поэтапно уменьшается. Вывод один: продление должно быть автоматическим. Для бесплатных сертификатов это стандартный механизм через протокол ACME; для платных — либо та же автоматизация, если удостоверяющий центр её поддерживает, либо напоминания нескольким ответственным и проверка срока внешним мониторингом. Именно так мы настраиваем сертификаты при запуске сайтов: автопродление плюс уведомление, если что-то пошло не так.

Правильная настройка: где чаще всего ошибаются

• Нет постоянного редиректа (301) с HTTP на HTTPS — часть трафика идёт открыто, а поисковик видит две версии сайта.
• Сертификат выпущен только на домен с www или только без него — вторая версия отдаёт ошибку.
• Смешанный контент: страница по HTTPS загружает скрипты, картинки или шрифты по HTTP. Браузер блокирует их или показывает предупреждение, вёрстка ломается.
• Сервер не отдаёт промежуточные сертификаты цепочки — на компьютере всё открывается, а на части телефонов и в интеграциях появляется ошибка.
• Включены устаревшие версии протокола. Разумный минимум сегодня — TLS 1.2 и 1.3.
• Не настроен заголовок HSTS, который запрещает браузеру открывать сайт по HTTP. Включать его стоит после того, как HTTPS заработал на всех поддоменах, — иначе можно сделать часть из них недоступной.
• Сессионные куки без флага Secure могут уйти по незащищённому каналу; без HttpOnly и SameSite они уязвимы для других атак.

Сертификат на основной домен — половина дела. Защищённое соединение нужно везде, где передаются данные:

• Поддомены с личным кабинетом, админкой, CRM или тестовой версией сайта. Тестовые стенды без HTTPS — частая точка утечки, потому что на них нередко лежат копии реальных данных.
• API, с которым работают мобильное приложение и интеграции. Мобильные приложения и серверы партнёров обычно не показывают предупреждений — они просто перестают работать, и об истёкшем сертификате вы узнаёте по жалобам.
• Вебхуки платёжных систем и сервисов доставки: многие из них отказываются отправлять уведомления на адреса без действительного сертификата.
• Почтовый сервер, если он свой: шифрование при отправке и получении писем тоже опирается на сертификаты, и их срок нужно контролировать так же, как у сайта.

Удобно вести единый список всех адресов с сертификатами и сроками их действия — это та же инвентаризация, что и для доступов, просто для другого типа ресурсов.

HTTPS, поиск и переезд без потери позиций

Защищённое соединение давно входит в число технических сигналов, которые учитывают поисковые системы, но само по себе оно не поднимет сайт в топ — это скорее условие допуска, чем преимущество. Гораздо заметнее косвенные эффекты: предупреждения браузера увеличивают число отказов, ошибки сертификата делают страницы недоступными для робота, а неаккуратный переезд с HTTP на HTTPS может на время перемешать позиции. Поэтому вопрос не в том, ставить ли сертификат, а в том, чтобы установить и обслуживать его без ошибок.

Для поисковиков переход с HTTP на HTTPS — смена адресов всех страниц, и делать его нужно аккуратно.

• Установите сертификат и проверьте, что все страницы открываются по HTTPS без ошибок и смешанного контента.
• Настройте постраничный 301-редирект со старых адресов на новые, а не перенаправление всего на главную.
• Обновите внутренние ссылки, канонические адреса, карту сайта и robots.txt — в них должны стоять адреса с https.
• В Яндекс Вебмастере добавьте HTTPS-версию и укажите её главным зеркалом; в Google Search Console добавьте новую версию сайта.
• Проверьте счётчики аналитики, рекламные ссылки и интеграции, где адрес сайта прописан жёстко.
• Следите за индексацией в течение нескольких недель: временные колебания возможны, массовое выпадение страниц — сигнал ошибки в редиректах.

Если переезд совмещается с редизайном или сменой платформы, рисков больше, и такие проекты лучше вести вместе со специалистом по SEO.

Ошибки у клиентов и кто за это отвечает

• Ошибка у всех — проверьте срок действия и соответствие имени домена.
• Ошибка только на некоторых устройствах — почти всегда неполная цепочка сертификатов или очень старая система у пользователя.
• Ошибка у одного человека — проверьте дату и время на его устройстве: при неверной дате сертификат кажется недействительным.
• Ошибка только на поддомене — сертификат не покрывает этот адрес.
• Предупреждение «частично защищено» — смешанный контент, ищите в консоли браузера ресурсы, загружаемые по HTTP.

Сертификаты истекают чаще всего не из-за технических сбоев, а потому, что никто не считает их своей задачей. Сайт делал один подрядчик, хостинг оплачивает бухгалтерия, домен оформлен на бывшего маркетолога, а письма удостоверяющего центра уходят в ящик, который никто не читает. Назначьте ответственного по имени, запишите, где выпущен каждый сертификат и как он продлевается, и подключите внешний мониторинг, который предупредит за две-три недели до окончания срока. Если сайт ведёт подрядчик, пропишите обслуживание сертификатов в договоре вместе со сроком реакции на сбой.

Проверка за десять минут

• Откройте сайт в режиме инкогнито и нажмите на значок в адресной строке: сертификат действителен, домен совпадает.
• Наберите адрес с http:// — должен быть мгновенный редирект на https.
• Проверьте обе версии: с www и без.
• Откройте консоль разработчика на главной, в корзине и на форме заявки — нет ли предупреждений о смешанном контенте.
• Посмотрите дату окончания сертификата и уточните у ответственного, как настроено продление.
• Проверьте сайт одним из онлайн-сервисов анализа TLS-настроек — он покажет версии протокола и полноту цепочки.

Вывод

SSL-сертификат — обязательный минимум для любого сайта: он защищает данные клиентов и сессии администраторов, убирает предупреждения браузера и открывает доступ к современным возможностям веба. Для большинства сайтов хватает бесплатного DV-сертификата, но только при правильной настройке: редирект, обе версии домена, полная цепочка, отсутствие смешанного контента и автоматическое продление. Пройдите проверку из последнего раздела прямо сейчас — если что-то не сходится, это обычно задача на час, которую стоит закрыть до следующей рекламной кампании. Если нужна помощь с переездом на HTTPS или настройкой — напишите нам.