HTTPS — это обычный протокол передачи страниц, поверх которого работает шифрование. Всё, чем обменивается браузер посетителя и ваш сервер, превращается в набор данных, который нельзя прочитать и нельзя незаметно подменить по дороге. В 2026 году это не опция и не «плюсик к безопасности», а базовое условие работы сайта: браузеры давно помечают сайты без шифрования как небезопасные, часть современных возможностей вроде геолокации и push-уведомлений на HTTP просто не работает, а Яндекс и Google учитывают наличие защищённого соединения при оценке сайта.
Я в SEO с 2005 года и помню времена, когда сертификат стоил дорого, ставился вручную и считался нужным только банкам и магазинам. Сегодня он бесплатен, ставится в пару кликов, и единственная реальная сложность — правильно выполнить переезд, чтобы не потерять позиции. Разберу всё по порядку: какие бывают сертификаты, как получить бесплатный, что HTTPS реально даёт, а чего от него ждать не стоит, и как переехать без потерь.
Что HTTPS защищает на самом деле
Шифрование канала решает три конкретные задачи, и полезно понимать границы каждой.
- Конфиденциальность. Данные между браузером и сервером нельзя прочитать по пути. Ни оператор связи, ни владелец публичного Wi-Fi, ни человек в той же сети не увидят, что пользователь ввёл в форму — телефон, пароль, номер карты, текст заявки.
- Целостность. Содержимое страницы нельзя подменить на лету. На HTTP-сайтах провайдеры и владельцы сетей вполне могли вставлять свою рекламу в чужие страницы — HTTPS это исключает.
- Подлинность. Сертификат подтверждает, что вы соединились именно с тем доменом, который набрали, а не с подставным сервером.
Чего HTTPS не делает: он не защищает сам сайт от взлома, не спасает от уязвимостей в движке, не мешает злоумышленнику подобрать пароль администратора и не гарантирует, что сайт принадлежит честной компании. Мошеннический сайт с сертификатом — вполне обычная вещь: сертификат подтверждает домен, а не порядочность владельца.
Виды сертификатов и что нужно бизнесу
Сертификаты различаются по уровню проверки владельца и по охвату доменов. Разница в шифровании между ними отсутствует — оно везде одинаковое. Отличается только то, что именно удостоверяющий центр проверил перед выдачей.
| Тип | Что проверяется | Срок выпуска | Цена в год | Кому подходит |
|---|---|---|---|---|
| DV (проверка домена) | Только контроль над доменом | Минуты | 0 рублей (Let’s Encrypt) или 500–3 000 рублей у платных центров | Подавляющему большинству сайтов: блоги, сайты услуг, корпоративные, небольшие магазины |
| OV (проверка организации) | Домен плюс существование юрлица | 1–5 дней | 5 000–20 000 рублей | Крупные компании, банки, там где важна формальная проверка |
| EV (расширенная проверка) | Глубокая юридическая проверка компании | До 2 недель | 15 000–60 000 рублей | Финансовый сектор; для остальных смысла почти нет |
| Wildcard | Домен и все поддомены одного уровня | Минуты — дни | 0 рублей у Let’s Encrypt при DNS-проверке, 4 000–25 000 у платных | Сайты с большим числом поддоменов |
| Российские УЦ | Домен или организация | Часы — дни | Часто бесплатно для юрлиц РФ | Госструктуры и компании, которым важна независимость от зарубежных центров |
Важный момент, который в 2026 году знают не все: зелёного замка с названием компании в адресной строке больше нет. Браузеры несколько лет назад перестали визуально выделять EV-сертификаты — пользователь видит один и тот же значок независимо от того, заплатили вы ноль рублей или пятьдесят тысяч. Поэтому аргумент «EV повышает доверие» сегодня не работает: повышать доверие нечем, разницу никто не видит.
Let’s Encrypt: бесплатно, автоматически, но с нюансами
Let’s Encrypt — некоммерческий удостоверяющий центр, который выдаёт DV-сертификаты бесплатно и автоматически. Это стандарт де-факто: им пользуются сотни миллионов сайтов, все браузеры ему доверяют.
Как получить на практике:
- Через панель хостинга. В ISPmanager, cPanel, Plesk и панелях большинства российских хостеров есть пункт «SSL-сертификаты» с готовой кнопкой выпуска Let’s Encrypt. Это самый простой путь: выпуск и автопродление настраиваются за пару минут.
- Через certbot на своём сервере. Утилита ставится пакетным менеджером, сама правит конфиг nginx или Apache и заводит задание на обновление.
- Через CDN или прокси. Сертификат выпускается на стороне сервиса, до вашего сервера трафик идёт по отдельному каналу.
Нюансы, о которых стоит знать заранее:
- Срок жизни — 90 дней. Это сделано намеренно, ради безопасности. Продление должно быть автоматическим. Главная беда бесплатных сертификатов — не сам сертификат, а сломавшийся автопродлеватель: сайт внезапно встречает посетителей красным предупреждением. Ставьте внешний мониторинг срока действия.
- Wildcard требует подтверждения через DNS. Если у вас много поддоменов и хостер не умеет автоматизировать DNS-проверку, будет ручная возня.
- Есть лимиты на количество выпусков для одного домена за неделю. При отладке легко в них упереться — используйте тестовый режим.
- Нет страховки и поддержки. Платные центры формально страхуют убытки от ошибки выпуска. На практике это никому не пригождалось, но для отдельных отраслей может быть требованием.
Мой ответ на вопрос «стоит ли платить за сертификат» для 95% проектов: не стоит. Бесплатный DV даёт ровно то же шифрование и ровно тот же значок в браузере.
Что HTTPS даёт для позиций и доверия
Здесь много мифологии в обе стороны, поэтому скажу как есть.
Для ранжирования. HTTPS — фактор пороговый, а не усиливающий. Его наличие не поднимет вас в топ: у всех конкурентов он тоже есть, преимущества нет. А вот отсутствие — реальный минус. Яндекс с 2017 года при прочих равных предпочитает защищённые версии, Google подтвердил учёт HTTPS как сигнала ещё в 2014-м. В коммерческих тематиках сайт без шифрования сегодня выглядит как заброшенный, и это считывается не только алгоритмом.
Для поведения пользователей. Вот здесь эффект прямой и измеримый. Браузеры показывают на HTTP-страницах пометку «Не защищено», а при вводе данных в форму — явное предупреждение. Человек, который видит такое перед отправкой телефона, чаще всего форму не отправляет. Провал конверсии на HTTP-сайтах с формами — самая частая причина, по которой ко мне приходят с жалобой «трафик есть, заявок нет».
Для аналитики. Переход с HTTPS-сайта на HTTP-сайт теряет данные о реферере. Если вы работаете с партнёрскими переходами, часть источников трафика просто перестанет определяться.
Для функциональности. Без HTTPS не работают геолокация, push-уведомления, доступ к камере и микрофону, современные платёжные виджеты и часть интеграций. Многие сервисы просто отказываются подключаться к незащищённому сайту.
Переезд с HTTP на HTTPS: порядок действий
Технически переезд — это смена адресов всех страниц сайта. Поисковик воспринимает http://site.ru и https://site.ru как два разных сайта, поэтому делать нужно аккуратно и в правильном порядке.
- Сделайте резервную копию файлов и базы данных. До любых действий.
- Выпустите и установите сертификат. Проверьте, что https-версия открывается и отдаёт корректную страницу.
- Исправьте внутренние ссылки и пути к ресурсам. Все абсолютные ссылки на свой домен, картинки, стили, скрипты, шрифты должны идти по https. Лучший вариант — относительные пути.
- Проверьте сторонние подключения. Виджеты, счётчики, карты, чаты, шрифты — всё должно грузиться по https, иначе получите смешанный контент.
- Обновите адреса в настройках движка. В WordPress это два поля в общих настройках плюс замена в базе; в других CMS — соответствующие параметры.
- Настройте постоянный редирект 301 со всех http-адресов на их https-аналоги. Именно постраничный, а не всё скопом на главную.
- Убедитесь, что склеены зеркала. С www и без — должна быть одна выбранная версия, остальные редиректят на неё.
- Обновите robots.txt и sitemap.xml — адреса внутри должны быть с https.
- Сообщите поисковикам. В Яндекс.Вебмастере добавьте https-версию и укажите её главным зеркалом; в Search Console добавьте новый ресурс.
- Обновите внешние точки: счётчики Метрики и аналитики, рекламные кампании, ссылки в соцсетях, карточки организации, подписи в письмах.
- Наблюдайте месяц. Небольшая просадка в первые недели — нормально, к концу второго месяца индекс обычно полностью перестраивается.
Типичные ошибки переезда
| Ошибка | Как проявляется | Как исправить |
|---|---|---|
| Смешанный контент | Замок не отображается, часть картинок и стилей не грузится, в консоли браузера ошибки | Найти все http-ссылки в шаблоне и базе, заменить на https или относительные |
| Редирект 302 вместо 301 | Поисковик не переносит вес на новые адреса, старые остаются в индексе | Заменить на постоянный редирект в конфиге сервера |
| Все http-страницы редиректят на главную | Массовая потеря позиций по внутренним страницам | Настроить постраничное соответствие |
| Цепочка редиректов | http без www → http с www → https с www → https без www | Свести к одному переходу |
| Не сменили главное зеркало в Вебмастере | В выдаче остаётся http-версия, склейка не происходит | Указать https как главное зеркало и дождаться переиндексации |
| Старый sitemap и robots.txt | Робот получает противоречивые сигналы | Перегенерировать с новыми адресами |
| Canonical остались с http | Поисковик считает предпочтительной старую версию | Обновить канонические ссылки |
| Счётчики остались на старом адресе | Обрыв в статистике, потеря исторических данных | Сменить адрес сайта в настройках Метрики |
| Сертификат без промежуточной цепочки | На части устройств и в старых браузерах ошибка доверия | Установить полную цепочку, проверить внешним сервисом |
| Забыли про поддомены | Поддомены остаются на http и выдают предупреждения | Выпустить сертификаты на каждый или один wildcard |
Отдельно про потерю позиций. Правильно выполненный переезд даёт колебания в пределах нескольких позиций на две-четыре недели. Если сайт просел резко и надолго — почти всегда виноват один из пунктов выше, а не сам факт переезда. Первым делом проверяйте редиректы и главное зеркало.
Чего от HTTPS ждать не стоит
Раздел, которого обычно нет, а он важен. HTTPS не решает следующее:
- Не защищает от взлома сайта. Уязвимый плагин, слабый пароль администратора, устаревшая CMS — сертификат тут ни при чём. Взломанный сайт будет отдавать вредоносный код по надёжно зашифрованному каналу.
- Не подтверждает добросовестность. Мошеннические сайты выпускают бесплатные сертификаты так же легко, как и все остальные.
- Не ускоряет сайт сам по себе. Хотя современный HTTP/2 и HTTP/3 требуют шифрования и в итоге работают быстрее старого HTTP/1.1 — выигрыш даёт именно смена версии протокола, а не сертификат.
- Не заменяет защиту от ботов и атак. Для этого нужны отдельные средства: ограничение частоты запросов, фильтрация по сетям, защита от перебора.
- Не даёт роста позиций сам по себе. Это гигиена, а не преимущество.
- Не отменяет требований к персональным данным. Шифрование канала — лишь одно из условий; политика обработки, согласие пользователя и хранение данных на серверах в России регулируются отдельно.
Сколько это стоит в 2026 году
| Работа | Своими силами | Через подрядчика |
|---|---|---|
| Выпуск и установка Let’s Encrypt через панель хостинга | 0 рублей, 10–20 минут | 1 500–5 000 рублей |
| Установка на выделенный сервер с настройкой автопродления | 0 рублей, 1–2 часа | 3 000–10 000 рублей |
| Полный переезд сайта с HTTP на HTTPS с редиректами и заменой ссылок | Реально, если есть доступ к серверу и базе | 7 000–25 000 рублей для обычного сайта, от 30 000 для крупного магазина |
| Платный DV-сертификат | 500–3 000 рублей в год | плюс работа |
| OV или EV-сертификат | 5 000–60 000 рублей в год | плюс работа |
| Настройка мониторинга срока действия | 0 рублей на бесплатных сервисах | обычно входит в поддержку |
Чеклист проверки после перехода
- Главная и несколько внутренних страниц открываются по https без предупреждений.
- В консоли браузера (F12) нет ошибок про смешанный контент.
- Ввод http-адреса приводит на тот же самый документ по https одним переходом, а не через цепочку.
- Версия с www и без ведёт на одну выбранную.
- Сертификат установлен с полной цепочкой — проверяется бесплатными онлайн-проверщиками SSL.
- В robots.txt и sitemap.xml адреса с https.
- Канонические ссылки и разметка Open Graph указывают на https.
- В Вебмастере главным зеркалом выбрана https-версия, ошибок нет.
- Счётчик Метрики собирает данные без разрыва.
- Настроено автопродление и внешний мониторинг срока действия сертификата.
- Формы отправляются и заявки доходят — проверить вручную, а не по логам.
Переезд на HTTPS и сопутствующие правки — это техническая доработка сайта. Ошибки после переезда находит бесплатный аудит.
Коротко
- HTTPS в 2026 году обязателен: без него браузеры пугают посетителей, часть функций не работает, а поисковики считают сайт хуже.
- Бесплатный DV-сертификат Let’s Encrypt даёт ровно то же шифрование, что и платный за пятьдесят тысяч. Разница только в проверке владельца, и пользователь её не видит.
- Главный риск бесплатного сертификата — сломавшееся автопродление. Ставьте мониторинг срока.
- Для позиций HTTPS — порог, а не преимущество. Зато для конверсии эффект прямой: люди не отправляют формы с пометкой «Не защищено».
- Переезд — это смена адресов всех страниц. Ключевое: постраничные 301, отсутствие смешанного контента, смена главного зеркала в Вебмастере.
- Просадка на две-четыре недели нормальна; резкое и длительное падение означает ошибку в редиректах или зеркалах.
- HTTPS не защищает от взлома, не подтверждает честность владельца и не заменяет защиту от ботов.
Если нужно раскрутка сайта в Яндексе — помогу вывести сайт в топ Яндекса и удержать позиции.
Увеличьте позиции и продажи вашего сайта
Профессиональное SEO-продвижение с гарантией результата. Выберите подходящую услугу:
Остались вопросы по продвижению?
Меня зовут Анатолий Кузнецов, я SEO-оптимизатор с 20-летним стажем. Разберу ваш сайт, отвечу на вопросы и подскажу, что улучшить для роста позиций в Яндексе и Google.
Связаться со мной →
Старт 
Стандарт 
Премиум 
