HTTPS — это защищённая версия протокола, по которому браузер общается с сайтом: данные шифруются, и по дороге их нельзя прочитать или подменить. SSL-сертификат (по современному названию TLS) лежит на сервере и подтверждает, что сайт тот, за кого себя выдаёт. Замок в адресной строке показывает, что сертификат в порядке.
Что даёт HTTPS
Шифрование: пароль или телефон, отправленные из формы, не прочитает ни провайдер, ни владелец открытого Wi-Fi в кафе. Целостность: в страницу по дороге нельзя подставить чужую рекламу. Подтверждение адреса: вы открыли этот домен, а не похожий на него.
О компании за сайтом HTTPS не говорит ничего. Замок есть и у мошеннического сайта: сертификаты бесплатны и выдаются автоматически.
Почему без него нельзя
Браузеры помечают сайты без HTTPS как «не защищено». Рядом с формой они показывают отдельное предупреждение, и часть посетителей закрывает страницу.
Поисковики учитывают HTTPS, хотя и не как решающий фактор. Сильнее влияет поведение людей: с предупреждением в адресной строке заявок меньше. Платёжные сервисы, рассылки и вебхуки с незашифрованными адресами не работают.
Где взять сертификат
На конструкторе и большинстве хостингов сертификат уже включён и продлевается сам. Отдельно платить за него не нужно.
На своём сервере ставят бесплатный сертификат Let's Encrypt: он выдаётся на 90 дней и продлевается автоматически. Платные сертификаты с проверкой организации берут редко: банкам и крупным магазинам, которым нужно показать юрлицо в карточке сертификата.
Что ломается чаще всего
- Сертификат истёк. Браузер показывает красный экран, и посетители уходят. Автопродление нужно настроить и через 90 дней проверить, что оно сработало.
- Сертификат на домен без www, а человек зашёл с www. Нужны оба имени в сертификате и перенаправление на одно из них.
- Смешанное содержимое. Страница по HTTPS тянет картинку или скрипт по HTTP: браузер показывает предупреждение, а часть содержимого не загружается. Лечится заменой ссылок внутри страницы.