Как подключить SSL-сертификат на сайт: инструкция для новичков

SSL-сертификат — это цифровой «паспорт» сайта, который шифрует данные между браузером посетителя и сервером и включает в адресной строке заветный замочек. Подключить его можно самостоятельно за несколько минут через хостинг-панель или заказать установку под ключ — сложных технических знаний для этого чаще всего не требуется.

Что вообще такое SSL и чем он отличается от HTTPS?

SSL (Secure Sockets Layer) — это технология шифрования, а если точнее — её современный преемник называется TLS (Transport Layer Security), но по привычке все продолжают говорить «SSL». А HTTPS — это обычный протокол HTTP, «завёрнутый» в это шифрование. Проще говоря: HTTP — открытка, которую может прочитать каждый почтальон по дороге, а HTTPS — запечатанный конверт, который откроет только адресат.

Когда на сайте установлен сертификат, все данные — логины, пароли, номера карт, переписка в чате — передаются в зашифрованном виде. Даже если кто-то перехватит трафик в открытой Wi-Fi сети кафе, он увидит только бессмысленный набор символов.

Зачем сайту сертификат, если на нём нет ни оплаты, ни личных данных?

Даже простой сайт-визитка без форм и корзины выигрывает от HTTPS сразу по нескольким причинам. Во-первых, браузеры сами предупреждают пользователей о «незащищённых» сайтах: Chrome и другие популярные браузеры помечают HTTP-страницы как небезопасные прямо в адресной строке, и часть посетителей просто закрывает вкладку, не дожидаясь загрузки.

Во-вторых, поисковые системы учитывают наличие HTTPS при ранжировании — это один из факторов, влияющих на позиции сайта в выдаче. В-третьих, без шифрования злоумышленник в той же публичной сети может подменить содержимое страниц или внедрить в них рекламу и вредоносный код, даже если формы ввода данных отсутствуют.

Какие бывают типы SSL-сертификатов?

Сертификаты различаются по уровню проверки и по количеству защищаемых доменов. По уровню проверки выделяют три вида:

• DV (Domain Validation) — базовый уровень, проверяется только владение доменом. Выдаётся быстро, часто автоматически, подходит для блогов, визиток, лендингов.
• OV (Organization Validation) — центр сертификации дополнительно проверяет юридическое лицо, которое владеет сайтом. Такой сертификат чаще используют компании, которым важно подтвердить свою реальность перед клиентами.
• EV (Extended Validation) — самая строгая проверка организации, обычно применяется банками, платёжными сервисами и крупными интернет-магазинами.

По количеству доменов сертификаты делятся на одиночные (защищают один домен), wildcard (защищают домен и все его поддомены сразу) и мультидоменные (покрывают сразу несколько разных сайтов одним сертификатом).

Сертификат обязательно покупать или можно получить бесплатно?

Можно получить и бесплатно. Существует некоммерческий центр сертификации Let's Encrypt, который выдаёт бесплатные DV-сертификаты автоматически и без участия человека — весь процесс проверки домена и выпуска занимает считаные минуты. Именно благодаря такому проекту HTTPS стал массовым стандартом для сайтов любого размера, а не привилегией крупного бизнеса.

Платные сертификаты нужны в первую очередь тем, кому важна расширенная проверка организации (OV, EV), более долгий срок действия без частого перевыпуска или дополнительная финансовая гарантия от удостоверяющего центра на случай утечки данных по его вине.

Как подключить сертификат к сайту — пошагово?

Классический путь подключения выглядит так:

• Заказываете сертификат — бесплатный или платный — для своего домена.
• Проходите проверку владения доменом: обычно это подтверждение через файл на сервере, DNS-запись или письмо на почту, привязанную к домену.
• Получаете файлы сертификата и устанавливаете их на сервер, где размещён сайт.
• Настраиваете автоматический редирект с HTTP на HTTPS, чтобы все посетители попадали именно на защищённую версию сайта.
• Проверяете, что все элементы страницы — картинки, скрипты, шрифты — тоже загружаются по HTTPS, иначе браузер может показывать предупреждение о смешанном контенте.

На большинстве современных хостингов этот процесс автоматизирован: сертификат заказывается и устанавливается прямо из панели управления в пару кликов, без ручной работы с файлами и командной строкой. Например, в «Клауд АйСи» при размещении сайта на хостинге или подключении домена SSL-сертификат можно настроить прямо в личном кабинете — без обращения к отдельному разработчику и без разбора технической документации центров сертификации.

Что будет, если сертификат просрочен или не установлен?

Если сертификат не установлен вовсе, браузер честно предупредит посетителя, что соединение не защищено, а некоторые современные функции сайта — например, определение геолокации или push-уведомления — могут вообще не работать без HTTPS. Если же сертификат был, но истёк срок его действия, картина ещё тревожнее: браузер выдаёт предупреждение о том, что сайту нельзя доверять, и предлагает пользователю не переходить дальше. Большинство посетителей на этом этапе просто уходят.

Именно поэтому важно следить за сроком действия сертификата. Бесплатные сертификаты Let's Encrypt действуют совсем недолго и требуют частого автоматического перевыпуска, платные обычно выдаются на более долгий срок, но тоже конечны. Хорошая новость в том, что на большинстве хостингов продление можно настроить автоматически — сертификат обновится сам, и владельцу сайта не придётся вспоминать об этом вручную.

Как проверить, что HTTPS настроен правильно?

Самый простой способ — открыть сайт в браузере и посмотреть на адресную строку: рядом с адресом должен быть значок замочка без предупреждающих пометок. Если нажать на этот значок, браузер покажет подробности сертификата — кем выдан, для какого домена и до какого числа действителен.

Дополнительно стоит проверить, что все внутренние ссылки на сайте ведут именно на HTTPS-версию, а старая HTTP-версия автоматически перенаправляет посетителей на защищённую. Также полезно убедиться, что подключаемые извне скрипты, шрифты и виджеты — например, счётчики аналитики или онлайн-чат — тоже загружаются по защищённому протоколу, иначе часть контента может блокироваться браузером или показываться с предупреждением.

Нужно ли что-то делать после установки сертификата?

После первичной настройки задача сводится к контролю срока действия и, при необходимости, обновлению сертификата — вручную или через автоматический перевыпуск. Также полезно периодически проверять сайт специальными онлайн-инструментами для анализа SSL: они показывают, не используются ли устаревшие протоколы шифрования и нет ли уязвимостей в текущей конфигурации.

Если сайт растёт и обзаводится поддоменами — например, отдельным разделом для интернет-магазина или личного кабинета — стоит заранее подумать о переходе на wildcard-сертификат, чтобы не заказывать и не продлевать отдельный сертификат под каждый новый поддомен.