HTTPS и SSL-сертификат: как защитить соединение с сайтом

HTTPS защищает соединение между браузером и сайтом. Он нужен не только интернет-магазину с оплатой: через формы и личный кабинет тоже передаются данные, которые не стоит отправлять по открытому каналу.

При этом сертификат не делает компанию автоматически надёжной и не защищает сайт от всех видов взлома. Разберём, что именно даёт HTTPS, как выбрать сертификат и какие проверки нужны при переходе с HTTP.

Что такое HTTPS и почему говорят об SSL

HTTPS — это HTTP с защищённым соединением на основе TLS. Название «SSL-сертификат» по-прежнему используется в интерфейсах хостингов и в разговоре, но SSL — устаревший предшественник TLS. Для современного сайта важны поддерживаемые протоколы и корректная настройка сервера, а не только приобретённый файл сертификата.

Браузер проверяет сертификат и устанавливает защищённое соединение с сервером. Это помогает защитить данные в пути от чтения и незаметной подмены. Сертификат должен соответствовать имени сайта, иметь действующий срок и корректную цепочку доверия.

Что HTTPS защищает, а что — нет

Шифрование важно для заявок, паролей, сессионных данных и обычного просмотра страниц. Но оно не исправляет уязвимость CMS, слабый пароль администратора или ошибочно открытый доступ к резервной копии.

• HTTPS не доказывает честность продавца: мошеннический сайт тоже может иметь действующий сертификат.
• Он не защищает уже заражённое устройство посетителя.
• Он не заменяет обновления Битрикса, ограничения доступа, резервное копирование и мониторинг.
• Он сам по себе не решает вопросы обработки персональных данных и согласий.

Поэтому сообщение браузера о защищённом соединении нужно понимать буквально, а не как гарантию безопасности бизнеса. При передаче заявки из сайта в CRM и другие сервисы нужно проверять и эти соединения.

Какой сертификат выбрать

Сначала выпишите все имена, которые должны работать: основной домен, вариант с www, необходимые поддомены. Затем уточните требования инфраструктуры, клиентов и внутренних процедур компании.

Вариант	Что проверяют или охватывают	Что важно знать
DV	Контроль над доменом	Может подходить в том числе коммерческому сайту
OV / EV	Дополнительные сведения об организации	Не делают шифрование автоматически сильнее и не гарантируют рост доверия или позиций
Wildcard	Имена поддоменов по маске	Нужно проверить, какие уровни и основной домен включены
С несколькими именами	Перечень конкретных доменов и поддоменов	Каждое нужное имя должно быть предусмотрено

Бесплатный DV-сертификат не является вариантом «только для некоммерческих сайтов». Например, Let’s Encrypt выдаёт такие сертификаты с автоматизируемым продлением. Важно, чтобы хостинг и ответственный специалист обеспечивали выпуск, продление и проверку результата.

Не ориентируйтесь на обещание обязательного зелёного названия компании в адресной строке: оформление браузеров меняется. И не планируйте продление по универсальному правилу «раз в год». Сроки зависят от сертификата и действующих правил — автоматизацию и уведомления надо проверять для своей конфигурации.

Как подготовить переход с HTTP на HTTPS

Если сайт уже работает, переход затрагивает адреса страниц. Составьте план до включения массовых редиректов. Сохраните резервную копию настроек и список важных URL, проверьте доступ к хостингу и подготовьте способ отката при технической ошибке.

1. Установите сертификат для нужных имён и проверьте открытие HTTPS без предупреждений.
2. Проверьте все основные типы страниц: каталог, карточку, статью, форму и личный кабинет.
3. Настройте постоянное перенаправление каждого HTTP-адреса на соответствующий HTTPS-адрес, а не на главную.
4. Обновите внутренние ссылки, canonical, карту сайта и при наличии языковые связи.
5. Проверьте изображения, скрипты, стили и обращения API, чтобы они не использовали небезопасные адреса.
6. Убедитесь, что robots.txt и нужные страницы доступны по HTTPS и нет случайного запрета индексации.
7. Проверьте Search Console, аналитику и интеграции, затем наблюдайте за ошибками и трафиком.

Для смены протокола Google описывает порядок в руководстве по переносу с изменением URL. Не стоит одновременно менять адреса всех разделов и полностью переделывать сайт без необходимости: это усложняет диагностику.

Что проверить на сайте в Казахстане

Пройдите отправку заявки с номером +7 и письмо-подтверждение, вход в кабинет и оформление доставки в доступный город. Если подключён платёжный провайдер, проверьте его тестовый сценарий, адрес возврата и серверные уведомления. Внешне успешная оплата не доказывает, что заказ правильно обновился в CMS.

Для русской и казахской версий проверьте обе группы URL и переключатель языка. Убедитесь, что ссылки из писем и шаблонов Битрикса больше не возвращают человека на HTTP. Если есть несколько доменов, карта переходов должна учитывать каждый из них, но не объединять независимые сайты без причины.

Частые ошибки

Смешанный контент

Страница открывается по HTTPS, но часть ресурсов запрашивается по HTTP. Браузер может блокировать такие запросы или изменять их обработку. Проверьте консоль и сетевые запросы, исправьте адреса в шаблонах, редакторском контенте и настройках модулей.

Цепочки и циклы редиректов

Правила хостинга, веб-сервера и CMS могут конфликтовать. Проверяйте конечный адрес и последовательность переходов, включая www и завершающий слеш. По возможности ведите сразу на правильный окончательный URL.

Продление настроено, но не работает

Проверяйте не только наличие задания, но и фактическое обновление сертификата на сервере. Уведомления должны приходить тому, кто отвечает за сайт. Особенно важно это после смены хостинга, DNS или обслуживающего подрядчика.

HSTS включили слишком рано

HSTS сообщает браузеру, что соединение должно использовать HTTPS. Это полезная настройка, но применять её нужно после проверки готовности домена и нужных поддоменов. Длительный срок, включение всех поддоменов и preload требуют отдельной оценки: ошибку не всегда можно быстро отменить для уже посетивших сайт браузеров.

Как HTTPS связан с продвижением

Защищённое соединение — нормальная техническая основа сайта. Но установка сертификата не заменяет полезное содержание, понятную структуру и работающее предложение. Не стоит обещать определённый рост позиций или конверсии только от перехода на HTTPS.

При смене адресов возможны временные изменения поисковых показателей. Сравнивайте отчёты до и после перехода, следите за редиректами, индексацией и ошибками. Цель — корректный защищённый сайт, а не формальное наличие сертификата. Если нужна помощь с техническими проблемами, можно обсудить SEO-продвижение сайта в Сеослоне и согласовать необходимые проверки.