SSL-сертификат для сайта: зачем нужен и что будет, если истечёт

Что делает SSL-сертификат

SSL-сертификат шифрует данные между браузером посетителя и вашим сервером. Когда человек заполняет форму заявки или вводит телефон, эта информация передаётся в зашифрованном виде. Без сертификата данные идут открытым текстом - их можно перехватить в публичной сети.

Сертификат подтверждает, что сайт принадлежит вам, а не мошеннику. Браузер проверяет его при каждом подключении и показывает замок в адресной строке, если всё в порядке. Если сертификата нет или срок истёк, вместо замка появляется предупреждение.

Это базовая защита, которую ждут и пользователи, и поисковики. Сайт без HTTPS воспринимается как ненадёжный, даже если вы просто продаёте цветы и не собираете платёжные данные.

Почему браузер блокирует сайт без сертификата

С 2018 года Chrome помечает все HTTP-сайты как небезопасные. Firefox, Safari и Edge делают то же самое. Для посетителя это выглядит страшно: большое красное окно с текстом про угрозу безопасности и кнопкой «Вернуться в безопасное место».

Да, можно нажать «Дополнительно» и проигнорировать предупреждение. Но по статистике 70-80% людей закрывают вкладку и уходят. Они не разбираются, что там с сертификатом, они просто видят «опасно» и не рискуют.

Если сайт работает с формами - заявки, подписки, логины - браузер может вообще заблокировать отправку данных. Это защита на уровне браузера, обойти её нельзя.

Как истёкший сертификат бьёт по бизнесу

Первое - вы теряете заявки. Человек кликнул по рекламе, попал на ваш сайт, увидел предупреждение и ушёл. Вы заплатили за клик, а конверсии нет. Если это продолжается несколько дней, счёт идёт на десятки потерянных обращений.

Второе - позиции в поиске. Google учитывает HTTPS как фактор ранжирования с 2014 года. Сайт без сертификата или с истёкшим сертификатом начинает проседать в выдаче через несколько недель. Трафик падает, и восстановить позиции потом долго.

Третье - удар по репутации. Клиенты пишут «ваш сайт взломали» или «у вас что-то с безопасностью». Даже если вы быстро всё починили, осадок остаётся. Некоторые больше не вернутся, потому что решат, что вы не следите за сайтом.

Срок действия и продление

Сертификаты выдают на срок от 90 дней до года. Раньше можно было получить сертификат на два-три года, но с 2020 года максимальный срок - 13 месяцев. Это сделано для безопасности: короткий срок снижает риск компрометации ключей.

Продлевать нужно вручную или настроить автопродление. Если хостинг поддерживает Let's Encrypt, сертификат обновляется автоматически каждые 60-80 дней. Если сертификат платный или настроен вручную, следить за сроком придётся самим.

Проблема в том, что уведомления о скором истечении часто приходят на почту, которую никто не проверяет. Письмо теряется, срок проходит, сайт встаёт. Мы видели случаи, когда компания теряла три дня продаж, потому что администратор был в отпуске, а доступ к серверу был только у него.

Бесплатный или платный - что выбрать

Let's Encrypt выдаёт бесплатные сертификаты, которые по уровню шифрования не уступают платным. Для большинства сайтов этого достаточно. Разница не в защите, а в дополнительных функциях и поддержке.

Платные сертификаты дают расширенную валидацию - в адресной строке отображается название компании. Это важно для банков, интернет-магазинов с большим оборотом, сервисов с платежами. Ещё платные сертификаты часто включают страховку на случай взлома и техподдержку.

Если у вас лендинг, корпоративный сайт или блог - берите Let's Encrypt и настраивайте автопродление. Если интернет-магазин с собственной платёжной системой или сервис, где крутятся деньги клиентов - есть смысл взять платный сертификат с расширенной проверкой.

Как проверить, что сертификат работает

Откройте сайт в браузере и посмотрите на адресную строку. Если слева от адреса стоит замок - сертификат установлен и действует. Кликните по замку, там будет строчка «Соединение защищено» и кнопка с информацией о сертификате.

Внутри можно посмотреть срок действия. Если до истечения меньше месяца, пора заняться продлением. Ещё там указан тип сертификата и кто его выдал.

Есть онлайн-инструменты вроде SSL Labs - они проверяют сертификат глубже и показывают ошибки в настройке, если они есть. Но для базовой проверки достаточно просто открыть сайт и посмотреть на замок.

Что делать, если сертификат истёк

Первое - не паниковать. Сам факт истечения не значит, что сайт взломали или данные утекли. Просто браузер больше не доверяет соединению и предупреждает об этом посетителей.

Второе - срочно продлить или перевыпустить сертификат. Если это Let's Encrypt на хостинге, обычно достаточно зайти в панель управления и запустить обновление вручную. Если сертификат платный, нужно зайти в личный кабинет у регистратора и оплатить продление.

После установки нового сертификата проверьте сайт в нескольких браузерах. Иногда браузер кэширует старое состояние и продолжает показывать предупреждение. Очистка кэша решает проблему.

Если вы не администратор и не знаете, где это делается - пишите в поддержку хостинга или тому, кто обслуживает сайт. Чем быстрее восстановите сертификат, тем меньше потеряете трафика и заявок.

Как мы это делаем в проектах

Когда разрабатываем сайт или интернет-магазин, SSL-сертификат ставим сразу, на этапе развёртывания. Обычно используем Let's Encrypt с автопродлением - для клиента это бесплатно и не требует участия.

Если проект на нашем хостинге в рамках техподдержки, мы сами следим за сроками и продляем сертификаты до истечения. Если сайт на стороннем хостинге, рекомендуем клиенту настроить уведомления на рабочую почту и проверять срок раз в квартал.

На сайте студии есть цены на поддержку - от базового тарифа, который включает мониторинг сертификатов, до расширенного с приоритетной техподдержкой. Точный состав услуг обсуждаем после брифа, потому что у всех разные требования к доступности и скорости реакции.

Если задача уже на столе - вот как мы делаем это под ключ: Техническая поддержка и обслуживание сайта.

Частые вопросы