SSL (https)

SSL, TLS и https — это одно и то же?

Их используют почти как синонимы. SSL — название старой технологии, а сейчас на деле применяется следующее поколение — TLS, но по привычке все продолжают говорить «SSL».

https — это способ передачи адреса сайта (http) с добавленным шифрованием. Если установить на сайт «SSL-сертификат», адрес начнёт открываться по https.

Сертификат — это одновременно ключ шифрования и печать, подтверждающая, что «владелец этого адреса подлинный». Браузер клиента проверяет по сертификату, что адрес настоящий, и после этого устанавливает зашифрованное соединение.

Поэтому если подрядчик говорит «подключим SSL», «настроим TLS» или «переведём на https», почти всегда речь об одной и той же работе. Проверять вам нужно не название технологии, а то, открывается ли адрес по https без предупреждений.

Чем бесплатный SSL-сертификат отличается от платного?

Уровень шифрования у бесплатных и платных сертификатов одинаковый. Разница в том, «что проверяют» при выдаче. Бесплатный сертификат автоматически проверяет только, что вы владеете адресом, а дорогой — по документам подтверждает ещё и реальное существование компании.

Раньше при сертификате с проверкой компании её название крупно показывалось в адресной строке зелёным цветом, но сейчас основные браузеры почти отказались от такой отметки. Поэтому местным заведениям и обычным интернет-магазинам в большинстве случаев хватает бесплатного сертификата.

Самый известный центр выдачи бесплатных сертификатов — Let’s Encrypt. Многие хостинг-провайдеры и платформы развёртывания автоматически устанавливают и продлевают такие бесплатные сертификаты.

Платный сертификат имеет смысл, разве что когда партнёры или тендерная документация требуют конкретный сертификат. Если таких требований нет, для клиентов гораздо важнее надёжное автопродление, чем дорогой сертификат.

Сколько действует SSL-сертификат и почему он истекает?

Сертификат действует от нескольких месяцев до срока меньше 1 года, и сроки постепенно сокращаются. Их намеренно делают короткими, чтобы при утечке ключа уменьшить период возможного ущерба.

Например, Let’s Encrypt сейчас выдаёт сертификаты на 90 дней и планирует сократить срок до 64 дней с 02.2027 и до 45 дней с 02.2028. Вручную продлевать сертификат с такой частотой сложно, поэтому автопродление фактически обязательно.

Поэтому важнее проверить не «купили ли сертификат», а «продлевается ли он автоматически». Если автопродление по какой-то причине остановится, на следующий день после окончания срока клиенты сразу увидят предупреждение.

Автопродлением обычно занимается хостинг или платформа развёртывания, но после изменения настроек подключения домена или смены провайдера оно иногда тихо останавливается. После крупных изменений для спокойствия проверьте, обновилась ли дата окончания сертификата.

Защищает ли SSL от взлома?

Нет, SSL защищает только «путь» данных между клиентом и сайтом. Он не даёт подсмотреть или подменить по дороге имя и телефон, которые клиент ввёл в форму, но не защищает сам сервер сайта или администраторский аккаунт.

Поэтому даже сайт на https могут взломать, если утёк пароль администратора или остались уязвимости в устаревших программах. О безопасности сервера и админ-панели нужно заботиться отдельно: обновления, управление паролями, резервные копии.

И для клиентов «https» не означает «безусловно надёжный сайт»: мошеннические сайты тоже могут получить бесплатный сертификат, поэтому важно проверять и точность адреса. Если вы всегда отправляете клиентам в SMS ссылки на оплату или запись с одного и того же основного адреса, они не запутаются.

Как перевести сайт с http на https?

Установить сертификат недостаточно: нужно ещё аккуратно перевести на https клиентов и поисковики, которые приходят на старый http-адрес. Если этого не сделать, одна и та же страница будет видна по двум адресам или будут появляться предупреждения.

При правильном переходе видимость в поиске в основном сохраняется. Google сообщает, что если одно содержимое открывается и по http, и по https, он обычно выбирает основным адрес https, поэтому если без пропусков настроить 301-е перенаправления, результаты поиска естественно перейдут на https.

1. 01Попросите хостинг или веб-студию выпустить сертификат и настроить автопродление.
2. 02Проверьте, что и основной адрес, и адрес с www открываются по https.
3. 03Настройте автоматический переход с http на https (301-й редирект).
4. 04Замените на https и адреса фото, видео и ссылок внутри страниц. Если хоть один останется на http, появится предупреждение о «смешанном содержимом».
5. 05Проверьте, что в Google Search Console и Naver Search Advisor зарегистрирован адрес на https.
6. 06Замените ссылки в QR-кодах на визитках, рекламе и профилях соцсетей на адрес с https.

Почему появляется предупреждение «Не защищено»?

Чаще всего оно появляется, если срок сертификата истёк, адрес в сертификате не совпадает с реальным или на странице есть файлы, загружаемые по http. Похожее предупреждение может появиться и тогда, когда на устройстве клиента сбиты дата и время.

В разных браузерах отметка выглядит по-разному. Например, Chrome даже для защищённых адресов может показывать вместо замка другой значок, поэтому отсутствие замка ещё не означает проблему. Надёжнее всего проверить, что адрес начинается с https и нет текста предупреждения.

Если заметили предупреждение, сделайте скриншот — на каком адресе, на каком устройстве и с каким текстом оно появилось — и отправьте подрядчику. Если это срочная проблема вроде истёкшего сертификата, клиенты могут не иметь возможности записаться или отправить заявку, поэтому сообщайте сразу.

• Покрывает ли сертификат и адрес с www, и основной адрес?
• Включено ли автопродление и кто получает уведомление о сбое?
• Нет ли на странице фото или файлов, загружаемых по http?