SSL и HTTPS: зачем сайту сертификат и как его получить
Без HTTPS браузер прямым текстом пишет посетителю «Не защищено» рядом с адресом вашего сайта. Это стоит заявок ещё до того, как человек увидел первый экран.
Что на самом деле делает сертификат
SSL шифрует канал между браузером посетителя и вашим сервером. Пока шифрования нет, всё, что человек вводит в форму — телефон, имя, комментарий — идёт по сети открытым текстом и может быть перехвачено на любом промежуточном узле, включая публичный Wi-Fi в торговом центре.
Второй эффект — подтверждение, что домен действительно принадлежит вам, а посетитель не попал на подменённую копию. Для интернет-магазина, где человек вводит данные карты через Payme или Click, это не опция, а обязательное условие: платёжные провайдеры просто не подключат сайт без HTTPS.
Бесплатный или платный
Для подавляющего большинства сайтов достаточно бесплатного сертификата Let's Encrypt. Он выдаётся автоматически, обновляется каждые 90 дней и шифрует ровно так же, как платный — уровень криптографии одинаковый. Разница не в защите, а в бумагах.
Платные сертификаты с расширенной проверкой (OV, EV) подтверждают ещё и юридическое лицо. Смысл в них появляется у банков, страховых и крупных финансовых сервисов, где важна проверяемая привязка домена к компании. Обычному сайту услуг или магазину переплачивать не за что.
Как подключить
У большинства узбекистанских хостингов Let's Encrypt включается в один клик в панели управления — раздел SSL или «Безопасность». Если сайт стоит за Cloudflare, сертификат можно выпустить и на их стороне, но тогда следите за режимом шифрования: режим Flexible создаёт видимость HTTPS при незашифрованном соединении до сервера, это хуже, чем кажется.
После выпуска обязательно настройте редирект: все запросы по http и на вариант с www должны уходить 301-м на один канонический https-адрес. Иначе у вас будет четыре версии сайта одновременно, и поисковик будет делить между ними вес.
Почему появляется «не защищено» при действующем сертификате
Самая частая причина — смешанный контент: страница отдаётся по https, а картинки, шрифты или скрипты на ней подключены по http. Браузер видит незащищённые ресурсы и снимает индикатор безопасности. Лечится заменой ссылок в шаблоне и в базе на протокол-относительные или https-адреса.
Вторая причина — сертификат истёк. Автопродление Let's Encrypt иногда ломается после переноса или смены DNS, а узнаёте вы об этом от клиента. Поставьте уведомление о сроке годности сертификата в любой сервис мониторинга — это бесплатно и снимает целый класс аварий.