Разработка сайтов
Интернет-магазин с нуля: этапы запуска
Запуск интернет-магазина — это не только сайт с корзиной, но и логистика, платежи, каталог, юридические вопросы и продвижение. Разбираем по этапам, что нужно сделать,…
Что такое HTTPS и SSL-сертификат
Когда браузер загружает страницу сайта, он обменивается данными с сервером по протоколу HTTP. В обычном HTTP эти данные передаются открытым текстом: любой, кто находится между пользователем и сервером, — например, владелец общественной точки Wi-Fi или злоумышленник в той же сети, — может их прочитать или подменить.
HTTPS — это тот же HTTP, но с шифрованием. Данные между браузером и сервером передаются в зашифрованном виде, и перехватить их содержимое практически невозможно.
SSL-сертификат — это цифровой документ, который подтверждает, что сайт действительно принадлежит тому, кто на нём указан, и содержит ключ для шифрования. Строго говоря, современные сертификаты работают по протоколу TLS — преемнику SSL, — но по привычке их продолжают называть SSL-сертификатами.
Как это работает упрощённо:
- Браузер обращается к сайту и запрашивает защищённое соединение.
- Сервер отправляет свой сертификат.
- Браузер проверяет, что сертификат выдан доверенным центром сертификации, не просрочен и соответствует домену.
- Если всё в порядке, браузер и сервер договариваются о ключах шифрования.
- Дальше весь обмен данными идёт в зашифрованном виде.
Всё это происходит за доли секунды и незаметно для пользователя.
Зачем HTTPS коммерческому сайту
Защита данных пользователей
Посетители вводят на сайте имена, телефоны, адреса, данные для входа в личный кабинет. Без шифрования эти данные могут быть перехвачены. Для интернет-магазинов и сайтов с личными кабинетами HTTPS — абсолютный минимум безопасности.
Доверие посетителей
Современные браузеры помечают сайты без HTTPS как «Не защищено». Особенно заметно это предупреждение становится, когда пользователь начинает вводить данные в форму. Многие посетители, увидев такое сообщение, просто уходят — особенно если речь идёт об оформлении заказа или оплате.
Поисковое продвижение
Google официально использует HTTPS как один из сигналов ранжирования. Яндекс тоже учитывает безопасность сайта, а в его выдаче защищённые сайты могут отмечаться особым образом. Сайт без HTTPS проигрывает конкурентам и по прямым факторам, и по поведенческим: люди с большей вероятностью уходят с незащищённого сайта.
Требования платёжных систем и сервисов
Платёжные шлюзы, многие интеграции и современные технологии браузеров работают только по защищённому протоколу. Без HTTPS не будут работать геолокация, push-уведомления, часть функций сервис-воркеров, некоторые платёжные виджеты.
Целостность контента
HTTPS защищает не только от чтения, но и от подмены данных. Без шифрования провайдер или злоумышленник может внедрить в страницу рекламу, вредоносный код или изменить содержимое.
Скорость
Протоколы HTTP/2 и HTTP/3, которые значительно ускоряют загрузку сайтов, в браузерах работают только поверх HTTPS. Так что защищённое соединение ещё и помогает сайту быстрее загружаться.
Виды SSL-сертификатов
Сертификаты различаются уровнем проверки владельца и количеством защищаемых доменов.
По уровню проверки
DV (Domain Validation) — проверяется только право управления доменом. Выдаётся быстро, часто автоматически. Шифрование такое же надёжное, как у более дорогих сертификатов. Подходит для большинства сайтов: корпоративных, блогов, лендингов, небольших магазинов.
OV (Organization Validation) — дополнительно проверяется существование организации. В сертификате указывается название компании. Подходит для коммерческих организаций, которым важно подтвердить юридическую принадлежность сайта.
EV (Extended Validation) — расширенная проверка организации по множеству документов. Раньше браузеры выделяли такие сайты зелёной строкой с названием компании, сейчас это визуальное отличие практически убрано. Используется банками, крупными финансовыми и государственными организациями.
По количеству доменов
- Однодоменный — защищает один домен.
- Wildcard — защищает домен и все его поддомены одного уровня. Удобно, если у сайта много поддоменов, например, региональные версии.
- Мультидоменный — защищает несколько разных доменов одним сертификатом.
Бесплатные и платные
Существуют бесплатные DV-сертификаты, которые выдаются автоматически на короткий срок и автоматически продлеваются. Многие хостинг-провайдеры подключают их в один клик. Для большинства сайтов этого вполне достаточно.
Платные сертификаты оправданы, когда нужна проверка организации (OV, EV), особые условия гарантий или поддержки, либо когда инфраструктура не позволяет настроить автоматическое продление.
| Тип | Что проверяется | Для кого |
|---|---|---|
| DV | Право на домен | Большинство сайтов |
| OV | Домен и организация | Коммерческие компании |
| EV | Расширенная проверка организации | Банки, финансы, госсектор |
Совет: не переплачивайте за «более надёжное шифрование». У всех типов сертификатов оно одинаковое — различается только степень проверки владельца.
Как перевести сайт на HTTPS
Если сайт уже работает по HTTP, переход нужно выполнить аккуратно, иначе можно потерять позиции в поиске и сломать часть функционала.
Шаг 1. Получите и установите сертификат
Подключите сертификат через панель хостинга или закажите у центра сертификации и установите на сервер. Проверьте, что сайт открывается по HTTPS без ошибок.
Шаг 2. Исправьте внутренние ссылки
Все ссылки внутри сайта, адреса изображений, скриптов, стилей должны вести на HTTPS или быть относительными. Иначе возникнет проблема смешанного контента: страница загружается по защищённому протоколу, а часть ресурсов — по незащищённому. Браузеры блокируют такие ресурсы или показывают предупреждение.
Обычно это делается массовой заменой в базе данных и проверкой шаблонов. Не забудьте про сторонние скрипты и виджеты: они тоже должны подключаться по HTTPS.
Шаг 3. Настройте 301-редиректы
Все страницы со старых HTTP-адресов должны постоянно перенаправлять на соответствующие HTTPS-адреса. Именно 301-й редирект сообщает поисковикам, что страница переехала навсегда, и передаёт накопленный вес новому адресу.
Важно: редирект должен вести на ту же самую страницу по HTTPS, а не на главную.
Шаг 4. Обновите служебные файлы
- В robots.txt укажите правильный адрес карты сайта.
- Карта сайта sitemap.xml должна содержать только HTTPS-адреса.
- Канонические ссылки на страницах должны указывать на HTTPS-версии.
Шаг 5. Сообщите поисковикам
- В Яндекс Вебмастере добавьте HTTPS-версию сайта и укажите главное зеркало.
- В Google Search Console добавьте ресурс для HTTPS-версии или используйте ресурс на уровне домена.
- Отправьте обновлённую карту сайта.
Шаг 6. Обновите внешние сервисы
- Яндекс Метрика и Google Analytics — проверьте адрес сайта в настройках.
- Рекламные кампании в Яндекс Директе — обновите ссылки в объявлениях, чтобы избежать лишних редиректов.
- Профили в социальных сетях, справочниках, на картах — по возможности обновите ссылки.
- Интеграции с CRM, платёжными системами, службами доставки — проверьте адреса уведомлений и колбэков.
Шаг 7. Включите HSTS
После того как всё проверено и работает, включите заголовок HSTS. Он сообщает браузеру, что сайт всегда нужно открывать только по HTTPS, даже если пользователь ввёл адрес без протокола. Включайте его осторожно: после активации отменить эффект для уже посетивших сайт пользователей непросто.
Типичные ошибки
Смешанный контент. Самая частая проблема после перехода. Замок в адресной строке не появляется или появляется с предупреждением, часть элементов не загружается.
Редирект на главную. Все старые адреса перенаправляются на главную страницу HTTPS-версии, а не на соответствующие страницы. Позиции внутренних страниц теряются.
Цепочки редиректов. Запрос проходит через несколько перенаправлений: с HTTP на HTTPS, потом с версии без www на www, потом на адрес со слешем. Каждый лишний шаг замедляет загрузку и размывает вес.
Просроченный сертификат. Сертификат закончился, и браузеры показывают посетителям пугающую полноэкранную ошибку. Сайт фактически недоступен. Настройте автоматическое продление или напоминания.
Сертификат не на тот домен. Сертификат выпущен для версии с www, а сайт открывается и без www — браузер выдаёт ошибку несоответствия.
Забытые поддомены. Основной сайт работает по HTTPS, а поддомены с блогом или региональными версиями — нет.
Как проверить, что всё в порядке
- Откройте сайт в разных браузерах и убедитесь, что в адресной строке есть значок защищённого соединения без предупреждений.
- В инструментах разработчика браузера, во вкладке «Консоль», проверьте отсутствие предупреждений о смешанном контенте.
- Проверьте, что при вводе адреса с HTTP происходит одно перенаправление на правильную HTTPS-страницу.
- Используйте онлайн-сервисы проверки SSL — они покажут корректность установки сертификата, срок действия и настройки сервера.
- Через несколько недель после перехода проверьте в Яндекс Вебмастере и Google Search Console, что в индексе остались HTTPS-адреса.
Итог
HTTPS сегодня — не опция, а обязательный стандарт для любого сайта, особенно коммерческого. Он защищает данные пользователей, повышает доверие, учитывается поисковыми системами и открывает доступ к современным технологиям браузеров.
Коротко о главном:
- SSL-сертификат шифрует данные и подтверждает подлинность сайта;
- для большинства сайтов достаточно DV-сертификата, в том числе бесплатного;
- при переходе на HTTPS исправьте внутренние ссылки, настройте постраничные 301-редиректы и обновите служебные файлы;
- сообщите о переезде в Яндекс Вебмастер и Google Search Console;
- следите за сроком действия сертификата и отсутствием смешанного контента.
В КомРА все новые сайты мы запускаем сразу на HTTPS, а при работе с существующими проектами проверяем корректность настройки защищённого протокола в рамках технического аудита.