Зачем сайту HTTPS и что такое SSL-сертификат

HTTPS — это защищённая версия протокола, по которому браузер общается с сайтом: данные шифруются, и по дороге их нельзя ни прочитать, ни подменить. SSL-сертификат (сейчас правильнее TLS) — это файл на сервере, который подтверждает, что сайт действительно тот, за кого себя выдаёт. Замок в адресной строке означает именно это.

Что даёт HTTPS на самом деле

Три вещи. Первая — шифрование: пароль или телефон, отправленные из формы, не прочитает ни провайдер, ни владелец открытого Wi-Fi в кафе. Вторая — целостность: в страницу нельзя подставить чужую рекламу по дороге. Третья — подтверждение адреса: вы попали именно на этот домен, а не на похожий.

Чего HTTPS не даёт: он не говорит, что за сайтом стоит честная компания. Замок есть и у мошеннического сайта — сертификаты бесплатны и выдаются за минуту. Замок подтверждает адрес, а не порядочность.

Почему без него нельзя

Браузеры показывают сайты без HTTPS как «не защищено» — в 2020-х это выглядит как заброшенный подъезд. Формы на таких страницах браузер сопровождает отдельным предупреждением, а часть посетителей просто уходит.

Поисковики учитывают HTTPS как фактор, хотя и не решающий. Зато решающим становится поведение людей: с предупреждением в адресной строке заявок будет заметно меньше. И многие сервисы — платёжные, рассылки, вебхуки — просто не работают с адресами без шифрования.

Где взять сертификат

На конструкторе и большинстве хостингов — нигде: он уже включён и продлевается сам. Это норма, и платить за это отдельно не нужно.

На своём сервере обычно ставят бесплатный сертификат Let's Encrypt: он выдаётся на 90 дней и продлевается автоматически. Платные сертификаты с проверкой организации нужны редко — банкам, крупным магазинам, там, где важно показать юрлицо в карточке сертификата.

Что ломается чаще всего

• Сертификат истёк. Браузер показывает красный экран, и посетители разворачиваются. Автопродление надо не только настроить, но и проверить через 90 дней, что оно сработало.
• Сертификат на домен без www, а человек зашёл с www. Нужны оба имени в сертификате — и перенаправление на одно из них.
• Смешанное содержимое. Страница по HTTPS тянет картинку или скрипт по HTTP: браузер ругается, а часть содержимого не грузится. Лечится заменой ссылок внутри страницы.

Частые вопросы