SSL-сертификат для сайта: зачем нужен и как поставить

Если на вашем сайте нет HTTPS — браузер пользователя пишет «Не защищено» прямо в адресной строке, поисковики проседают в выдаче, а Яндекс.Директ может отказать в показе объявлений. И при этом сертификат сегодня в большинстве случаев бесплатный, а установка занимает 15 минут. Разбираемся, как именно это работает.

01Что такое SSL-сертификат простыми словами

SSL (сейчас фактически TLS, но название «SSL» осталось в обиходе) — это протокол, который шифрует данные между браузером посетителя и вашим сайтом. Когда пользователь вводит данные карты или отправляет форму обратной связи, без SSL эти данные летят по сети в открытом виде. Любой провайдер, любая компрометированная Wi-Fi-точка увидит всё, что было набрано.

SSL-сертификат — это электронный документ, который удостоверяет: «домен brandevo.ru действительно принадлежит этой компании, и шифрование настроено правильно». Сертификат выдают специальные центры сертификации — Let’s Encrypt, ZeroSSL, Sectigo, GlobalSign и другие.

02Зачем SSL вашему сайту

Причин ставить HTTPS — четыре, и все они важны для бизнеса:

• Доверие пользователей. Без замочка в браузере посетитель видит предупреждение «не защищено». Конверсия на таком сайте падает заметно, особенно в нишах, где люди оставляют контактные данные.
• Ранжирование в поиске. Яндекс и Google официально учитывают HTTPS как один из факторов. При прочих равных сайт на HTTPS будет выше сайта на HTTP.
• Работа платежей и кабинетов. Платёжные шлюзы, ЮKassa, банковские интеграции — все требуют HTTPS как обязательное условие.
• Реклама. Яндекс.Директ ограничивает показы объявлений, ведущих на сайт без сертификата.

Иначе говоря: даже если вы делаете маленький сайт-визитку без форм — без SSL вы заранее теряете часть трафика и заявок.

03Какие бывают сертификаты

Все SSL-сертификаты можно условно разделить по двум осям — по типу валидации и по охвату доменов.

По уровню валидации

• DV (Domain Validation) — подтверждается только владение доменом. Выпускается за минуты. Подходит большинству сайтов малого и среднего бизнеса.
• OV (Organization Validation) — проверяется ещё и существование организации. Выпускается за несколько дней.
• EV (Extended Validation) — расширенная проверка компании. Раньше в браузере показывалась зелёная строка с названием организации, сейчас визуально это уже не выделяется.

В подавляющем большинстве случаев бизнесу хватает DV-сертификата. Платить за OV или EV имеет смысл банкам, страховым и крупным e-commerce-проектам.

По охвату

• Single-domain — закрывает один домен (например, brandevo.ru).
• Wildcard — закрывает домен и все поддомены (*.brandevo.ru).
• SAN/Multi-domain — несколько разных доменов в одном сертификате.

04Платный или бесплатный — что выбрать

Бесплатные сертификаты Let’s Encrypt и ZeroSSL технически ничем не отличаются от платных DV. Шифрование такое же, браузеры доверяют им одинаково. Разница — в сроке (Let’s Encrypt — 90 дней с автопродлением) и в отсутствии «страховки» от центра сертификации.

Платный DV-сертификат имеет смысл, если хостинг не поддерживает автообновление Let’s Encrypt, нужен срок на год-два сразу или важна страховка центра сертификации. В остальных случаях бесплатный сертификат с автообновлением — оптимальный вариант для сайта-визитки, корпоративного сайта или интернет-магазина средней величины.

05Как установить SSL на сайт

Сценарий зависит от того, где вы хоститесь.

На хостинге с панелью (ISPmanager, cPanel, FastPanel, Plesk)

В большинстве случаев в панели уже есть встроенная интеграция с Let’s Encrypt. Нажимаете «выпустить сертификат», подтверждаете владение доменом, ставите галочку «принудительно HTTPS». Через несколько минут сайт уже работает по защищённому протоколу.

На VPS или собственном сервере

Используется утилита Certbot или acme.sh. После установки сертификата правится конфиг Nginx или Apache: подключаются файлы fullchain.pem и privkey.pem, прописывается редирект с HTTP на HTTPS.

После установки

Несколько обязательных шагов, без которых эффект будет половинчатым:

• настроить 301-редирект со всех HTTP-страниц на HTTPS;
• обновить адрес сайта в WordPress (или другой CMS), Яндекс.Вебмастере и Яндекс.Метрике;
• проверить, что все картинки, скрипты и стили подгружаются по https — иначе будет «смешанный контент» и замочек пропадёт;
• добавить новую версию сайта в SEO-инструменты и убедиться, что переиндексация идёт корректно.

06Типичные ошибки при переходе на HTTPS

Несколько грабель, на которые наступают чаще всего:

• Сертификат не продлили. Если автопродление не настроено, через 90 дней сайт начинает ругаться. Всегда настраивайте автообновление.
• Mixed content. Часть ресурсов подгружается по http — браузер показывает предупреждение, замочек теряется.
• Цепочка не настроена. Без промежуточных сертификатов мобильные браузеры могут показывать ошибку, хотя в десктопном Chrome всё работает.
• Нет редиректа. Сайт доступен и по http, и по https — поисковики видят дубли, рейтинг проседает.

Эти моменты — часть стандартной проверки сайта после перевода на HTTPS, и закрываются они за один-два часа работы технического специалиста.

Официальная документация по теме — Справка Яндекс.Вебмастера.