Перевести сайт на HTTPS: замочек, объяснённый для новичков

Маленький замочек рядом с адресом или, наоборот, красное «Не защищено» — это первое, что посетитель видит на вашем сайте, ещё до вашего логотипа. Рассказываем, что на самом деле делает HTTPS, почему Google и браузеры его требуют, как его получить — и почему в Leopar вам ничего делать не нужно.

HTTP, HTTPS: буква, которая меняет всё

Когда ваш браузер запрашивает страницу у сервера, он говорит с ним на языке под названием HTTP. В простом HTTP всё, что передаётся между ними — страница, заполненная форма, пароль, — идёт открытым текстом: любой на пути (Wi-Fi в кафе, оператор, злонамеренный посредник) может это прочитать или изменить.

S в HTTPS означает secure — защищённый: разговор зашифрован. Он остаётся читаемым для вашего посетителя и для вашего сервера, но становится нечитаемым для всех, кто находится между ними. Замочек просто показывает, что шифрование включено и что сервер действительно тот, за кого себя выдаёт.

Почему это стало обязательным даже для сайта-визитки

«Мой сайт просто рассказывает о моей деятельности, мне нечего скрывать.» Это правда, и всё же есть три причины, по которым HTTPS сегодня необходим:

Доверие	Chrome, Safari и Firefox показывают «Не защищено» на любом сайте по HTTP. Посетитель, увидевший это предупреждение, закрывает вкладку — особенно перед тем, как заполнить форму обратной связи.
Google	HTTPS — фактор ранжирования с 2014 года. При равном содержании защищённый сайт оказывается выше.
Целостность	Без шифрования посредник может вставить рекламу или изменить ваши тексты без вашего ведома. По HTTPS страница приходит такой, какой вы её опубликовали.

Сертификат: удостоверение личности вашего сайта

Чтобы говорить по HTTPS, серверу нужен сертификат: небольшой файл, выданный признанным центром, который подтверждает, что moyafirma.ru действительно обслуживается нужным сервером. Десять лет назад сертификат стоил дорого и продлевался вручную каждый год. С появлением Let's Encrypt (2016) он бесплатен, выдаётся за несколько секунд и автоматически продлевается самим сервером каждые три месяца.

На практике центр проверяет одно: что доменное имя действительно указывает на сервер, запрашивающий сертификат. Именно поэтому сайт не может работать по HTTPS, пока его доменное имя не настроено правильно.

Как перевести сайт на HTTPS за три шага

Если вы сами управляете хостингом, порядок действий всегда один и тот же, независимо от провайдера:

1. Получить сертификат. У большинства хостеров это галочка в панели управления («SSL», «Let's Encrypt»). На сервере, которым вы администрируете сами, такой инструмент, как Certbot, делает это одной командой.

2. Перенаправить HTTP на HTTPS. Без этого шага ваш сайт существует в двух версиях, и посетители, набравшие адрес без «https://», попадают на незащищённую. Постоянное перенаправление (код 301) решает проблему и избавляет от дублей в глазах Google.

3. Устранить «смешанный контент». Если ваша защищённая страница загружает картинку или скрипт по «http://», браузер убирает замочек. Все ресурсы должны идти по HTTPS, включая те, что берутся с других сайтов.

Что Leopar делает за вас

В Leopar этих трёх шагов для вас не существует: HTTPS включается автоматически, как только ваш сайт выходит в сеть, сертификат продлевается без вашего участия, а перенаправление с HTTP на HTTPS уже настроено. Ваш сайт спроектирован так, чтобы загружать только защищённые ресурсы, так что смешанного контента искать не придётся.

Вы сохраняете домен, зарегистрированный в другом месте? Сертификат выдаётся, как только ваша A-запись указывает на ваш сервер — это единственная строка, которую нужно изменить, и мы вам её присылаем. Пока распространение не завершено, ваш сайт остаётся доступен по HTTPS на тестовом адресе.

Частые вопросы

Замедляет ли HTTPS сайт?
Нет. Накладные расходы на шифрование на современном сервере ничтожны, а HTTPS открывает дорогу более быстрым протоколам (HTTP/2, HTTP/3), которые работают только в защищённом режиме. На практике сайт по HTTPS быстрее.

Мой сайт на HTTPS, но замочек не появляется, почему?
Почти всегда это смешанный контент: картинка, шрифт или скрипт всё ещё загружаются по «http://». Консоль браузера (F12) покажет, какой именно.

Бесплатный сертификат менее надёжен, чем платный?
Нет. Шифрование одинаковое. Платные сертификаты добавляют административные гарантии (проверку компании), которые в браузерах больше никак не отображаются.

Что будет, если сертификат истечёт?
Браузер покажет предупреждение на весь экран, и большинство посетителей развернётся. Именно поэтому продление должно быть автоматическим, никогда — ручным.