SSL-сертификат: зачем он нужен и как его проверить
Замочек в адресной строке видели все, но что именно он гарантирует — знают немногие. Разбираем, что даёт сертификат, а чего не даёт, и как проверить, что у вас всё в порядке.
Что даёт сертификат и чего не даёт
Сертификат делает ровно одно: шифрует данные между браузером посетителя и сервером. Пароль, номер карты и текст заявки не может прочитать никто по дороге — ни владелец вайфая в кафе, ни провайдер.
Чего он не делает: не подтверждает добросовестность владельца сайта. Бесплатный сертификат получают за несколько минут на любой домен, включая мошеннический. Замочек означает «соединение защищено», а не «этим людям можно доверять».
На что смотреть в сертификате
Посмотреть их можно самому: нажмите на замочек в адресной строке и откройте сведения о сертификате. Браузер покажет, кем выдан, на какой домен и до какой даты действует.
Бесплатный или платный
Для обычного сайта бесплатного достаточно. Шифрование у бесплатного и платного одинаковое — разница не в защите, а в том, что удостоверяется.
| Тип | Что подтверждает | Кому нужен |
|---|---|---|
| Бесплатный (DV) | что домен ваш | подавляющему большинству сайтов |
| Платный (OV) | что за доменом есть проверенная организация | когда важно показать юрлицо |
| Расширенный (EV) | организацию с углублённой проверкой | банкам и крупным площадкам |
Бесплатные сертификаты выдаются на 90 дней и продлеваются автоматически, если это настроено на хостинге. Если автопродление не работает — сайт раз в три месяца встречает посетителей красным экраном.
Мало иметь сертификат — надо перевести на него сайт
Частая ситуация: сертификат есть, https работает, но и по http сайт тоже открывается. Значит, часть посетителей ходит по незащищённому соединению — по старым ссылкам, из закладок, из писем.
- Настройте перенаправлениеПостоянное, с кодом 301: любой http-адрес должен вести на https. Обычно включается галочкой в панели хостинга.
- Включите HSTSЭтот заголовок говорит браузеру ходить на сайт только по защищённому соединению, даже если человек набрал адрес без https.
- Проверьте смешанное содержимоеЕсли страница по https подгружает картинку по http, браузер ругается. Обычно это старые адреса в базе.
- Поставьте напоминаниеЗа месяц до истечения сертификата и домена. Обе даты наступают тихо.
Что делать, если сертификат истёк
Браузер перестанет открывать сайт без предупреждения на весь экран, и посетители будут уходить сразу — большинство не станет разбираться, что это значит. Поисковики тоже реагируют, хоть и не мгновенно.
Лечится это быстро: у большинства хостингов выпуск бесплатного сертификата — кнопка в панели, занимает несколько минут. После выпуска проверьте, что автопродление включено, иначе история повторится через три месяца.
Частые вопросы
Как проверить, до какой даты действует сертификат?
Нажмите на замочек в адресной строке и откройте сведения о сертификате — там будет срок. Либо воспользуйтесь нашей проверкой безопасности: она показывает издателя, оставшиеся дни и версию протокола.
Достаточно ли бесплатного сертификата?
Для подавляющего большинства сайтов да. Шифрование у бесплатного и платного одинаковое, различается только то, что удостоверяется помимо владения доменом.
Замочек означает, что сайту можно доверять?
Нет. Он означает только то, что соединение зашифровано. Бесплатный сертификат выдаётся на любой домен за несколько минут, в том числе мошенническому сайту.
Что такое TLS и какая версия нужна?
TLS — протокол шифрования, тот самый, что стоит за https. Актуальны версии 1.2 и 1.3; 1.0 и 1.1 считаются устаревшими, и мы помечаем их в отчёте.
Проверьте свой сайт
Двадцать одна проверка по 152-ФЗ, безопасности и техническому состоянию. Первая страница — бесплатно, без регистрации.