Бесплатный SSL-сертификат: чем отличается от платного и когда его недостаточно

Бесплатный SSL-сертификат шифрует соединение ровно так же, как платный за двадцать тысяч рублей в год: алгоритмы одни и те же, и посетитель разницы не увидит. А проблемы у владельцев начинаются в другом месте — в понедельник утром сайт перестаёт открываться, браузер показывает красный экран с предупреждением об опасности, и оказывается, что автопродление сломалось три месяца назад, а письма об этом уходили на почту уволившегося подрядчика. Ниже — чем бесплатный сертификат реально отличается от платного, кому первого достаточно, кому нужен второй, как проверить срок за минуту и что делать, чтобы продление не отвалилось молча.

И предупрежу о заблуждении, из-за которого владельцы спокойно спят там, где не надо: сертификат не «защищает сайт от взлома». Он решает одну узкую задачу, и ниже я объясню какую. Если вас интересует и техническая сторона, и результат в поиске, начните с общего понимания продвижения сайта в органическом поиске.

Что сертификат делает и чего не делает

Задача сертификата одна: подтвердить, что вы разговариваете именно с тем сайтом, чей адрес набрали, и зашифровать то, что между вами передаётся. Пока данные идут от браузера до сервера через десяток промежуточных узлов, их нельзя ни прочитать, ни подменить. Поэтому без сертификата нельзя принимать пароли, телефоны и содержимое форм: любой на маршруте увидит их открытым текстом.

Теперь чего он не делает. Не мешает подобрать пароль к админке. Не защищает от дыры в устаревшем плагине. Не останавливает загрузку вредоносного файла через форму. Зашифрованный канал к взломанному сайту работает превосходно: вредоносный код передаётся посетителю надёжно и в защищённом виде.

Отсюда правильная картина в голове: сертификат — это замок на канале связи, а не охрана дома. Вопросы охраны решаются отдельно, и они куда важнее для владельца — как минимум обновления, пароли и резервные копии. Порядок действий по этой части разобран в материале про то, как защитить сайт от взлома.

Что у бесплатного и платного одинаково

Шифрование. Главный пункт, который убирает половину сомнений. Стойкость соединения определяется не ценой, а протоколом и набором алгоритмов, которые поддерживают сервер и браузер. Сертификат здесь — документ о владении адресом, а не сам «шифр».

Доверие браузеров. Бесплатный сертификат от нормального удостоверяющего центра принимают все современные браузеры без предупреждений, замочек в адресной строке выглядит одинаково. И для посетителя видимых отличий нет: свойства сертификата обычный человек не открывает, он смотрит, нет ли предупреждения.

То есть если вам говорят, что бесплатный сертификат «слабее шифрует» или «хуже для посетителей», — это неправда. Отличия есть, но они лежат в другой плоскости.

Чем бесплатный отличается от платного на самом деле

Срок действия. Самое заметное отличие. У крупнейшего бесплатного центра сертификаты по умолчанию действуют 90 дней, есть также вариант на шесть дней; продлевать рекомендуется каждые 60 дней и раз в три дня соответственно — это прямо написано в его официальном разделе с частыми вопросами. Платные обычно выпускались на год. Отсюда и вся разница в эксплуатации: бесплатный обязан продлеваться автоматически, потому что вручную четыре раза в год про него забудут.

Способ проверки. Бесплатные сертификаты — почти всегда проверка владения доменом: система убеждается, что вы управляете адресом, и выдаёт документ; организация не проверяется никак. Тот же центр прямо пишет, что не планирует выпускать сертификаты с проверкой организации или расширенной проверкой. Платные бывают трёх уровней: домен, домен плюс существование организации, расширенная проверка документов юридического лица. Разница видна тому, кто откроет свойства сертификата: там либо только адрес сайта, либо ещё и название компании.

Страховка. У платных сертификатов часто заявлена финансовая гарантия на случай ошибки удостоверяющего центра. У бесплатных её нет. На практике для малого бизнеса этот пункт почти всегда декоративный — но если вы принимаете платежи на своей стороне, читать условия стоит.

Поддержка. Пожалуй, главное практическое отличие. У бесплатного центра индивидуальной поддержки подписчиков нет: документация и форум сообщества. Платный сертификат обычно продаётся вместе с техподдержкой, которой можно написать в три часа ночи. Для владельца без своего технического специалиста это может стоить своих денег.

Дополнительные типы. Сертификат на все поддомены сразу бесплатный центр выдаёт, но только с подтверждением через доменную зону, что усложняет автоматизацию. Мультидоменные варианты чаще берут платными.

Тип сертификата	Что даёт	Кому нужен
Бесплатный с проверкой домена	Шифрование канала, доверие браузеров, срок 90 дней с автопродлением	Сайт услуг, блог, визитка, интернет-магазин, который отдаёт оплату платёжному сервису
Платный с проверкой домена	То же шифрование, срок длиннее, поддержка и страховка	Тем, кому нужна живая техподдержка и кто не хочет заниматься автопродлением
С проверкой организации	В свойствах сертификата видно название компании	Крупному бизнесу, банкам, компаниям, у которых есть двойники и подделки
С расширенной проверкой	Максимальная проверка юридического лица удостоверяющим центром	Тем, кто работает с чужими деньгами и данными на своей стороне
На все поддомены сразу	Один сертификат на основной адрес и любые поддомены	Сайтам с региональными поддоменами, отдельными кабинетами, тестовыми площадками
Мультидоменный	Несколько разных доменов в одном сертификате	Тем, у кого группа сайтов на одном сервере
Российский удостоверяющий центр	Доверие в отечественных браузерах, независимость от зарубежных центров	Отдельная тема со своими условиями — см. разбор ниже

Последняя строка требует пояснения: с российскими сертификатами история отдельная, со своей логикой применения и особенностями доверия в разных браузерах. Разобрано в материале про сертификаты Минцифры для сайта. Общее сравнение типов с техническими подробностями — в разборе видов SSL-сертификатов.

Кому достаточно бесплатного

Если коротко: подавляющему большинству сайтов малого бизнеса. Сайт услуг и визитка — формы заявки, телефон, описание услуг, без платежей и личных кабинетов: бесплатного хватает полностью, платный не добавит ничего, кроме строки в счёте. Блог, информационный сайт, портфолио — то же самое.

Магазин, который не обрабатывает карты сам. Это важная оговорка. Если оплата уходит на страницу платёжного сервиса или в его защищённое окно, номера карт через ваш сервер не проходят. Значит, вам нужен обычный сертификат для шифрования корзины и формы заказа, а не что-то особенное.

Когда всё-таки стоит подумать о платном или о сертификате с проверкой организации: если вы принимаете и обрабатываете платёжные данные на своей стороне; если вас регулярно подделывают и клиенты приходят с претензиями по фишинговым копиям; если у вас требования от партнёра или регулятора, в которых указан уровень проверки; и если у вас нет никого, кто следит за автопродлением, а падение сайта на сутки стоит дорого.

Автопродление: как оно ломается и что при этом видит посетитель

Самый частый сценарий аварии, и он разворачивается тихо. Сертификат на 90 дней перевыпускается автоматически по расписанию на сервере, и пока всё работает, вы об этом не знаете. Потом что-нибудь меняется — продление перестаёт проходить, а сообщение об ошибке уходит в лог, который никто не читает.

Типовые причины поломки: сменили хостинг или панель управления, переехали на другой сервер, поменяли настройки перенаправлений и закрыли служебный путь, по которому центр проверяет владение доменом, поставили защиту от роботов, которая блокирует эту проверку, сменили записи доменной зоны, отключили или обновили модуль на сервере, поставили кэширование, отдающее старый ответ на проверочный запрос.

Что видит посетитель в день просрочки: не «сайт немного хуже», а страницу с предупреждением на весь экран — соединение не защищено, продолжать не рекомендуется. Часть людей нажимает «назад» немедленно. Поисковые роботы тоже перестают получать нормальные ответы. Если у вас идёт реклама, деньги продолжают списываться за клики, которые упираются в этот экран.

Отдельно про сроки: они будут только сокращаться. Требования, по которым работают удостоверяющие центры и браузеры, устанавливают максимальный срок действия сертификата в 398 дней до 14 марта 2026 года, 200 дней — с 15 марта 2026 года, 100 дней — с 15 марта 2027 года и 47 дней — с 15 марта 2029 года; эти значения записаны в базовых требованиях отраслевого объединения удостоверяющих центров и браузеров. Практический вывод для владельца: покупка сертификата «на три года, чтобы не думать» больше не вариант, и ручное продление тоже перестаёт быть вариантом. Автоматизация становится обязательной независимо от того, платите вы за сертификат или нет.

Как проверить срок и кто отвечает за продление

Проверка занимает минуту и делается из браузера: нажмите на замочек слева от адреса, откройте сведения о сертификате и посмотрите дату окончания. Там же видно, кем он выдан и на какие имена. Дальше — организационная часть, которую почти никто не делает, а она и спасает.

Что проверить	Как проверить	Что должно получиться
Дата окончания	Замочек в адресной строке — сведения о сертификате	До окончания больше трети срока; если меньше — продление уже должно было пройти
Кто отвечает за продление	Спросить прямо: хостинг, подрядчик или вы	Один конкретный человек, записанный в ваших заметках вместе с контактом
Куда уходят письма о продлении	Проверить адрес в панели хостинга и у центра	Ваша рабочая почта, а не ящик подрядчика и не забытый адрес
Работает ли автопродление	Посмотреть дату выпуска: она должна быть свежее, чем дата последней ручной установки	Сертификат перевыпускался сам, без вашего участия
Все имена сайта	Открыть сайт с www и без, каждый поддомен, каждый язык	Ни одного предупреждения браузера ни на одном адресе
Внешний контроль	Поставить напоминание в календаре на месяц вперёд, повторяющееся	Вы узнаёте о проблеме из календаря, а не от клиента
Действия при аварии	Записать, куда обращаться и какой у вас доступ к панели	Инструкция на полстраницы, понятная без вас

Про ответственного стоит сказать отдельно: здесь ломается чаще всего. Типовая ситуация — сертификат ставил подрядчик, который делал сайт два года назад, письма о проблемах идут на его почту, договора с ним давно нет. Разберитесь до аварии: где выпускается сертификат, у кого доступ к панели, на какой адрес приходят уведомления. Если доступов нет и восстанавливать их некому, это повод для доработки сайта.

Две ошибки, из-за которых замочек всё равно не появляется

Смешанный контент. Сертификат установлен, но часть картинок, стилей или скриптов на странице загружается по старому небезопасному адресу. Браузер в такой ситуации либо убирает замочек, либо блокирует эти файлы — и вы получаете страницу без части оформления или с неработающими кнопками. Причина обычно в старых записях в базе, где адреса картинок прописаны целиком, или в сторонних виджетах. Находится это так: откройте страницу, вызовите инструменты разработчика в браузере и посмотрите список предупреждений — там прямо перечислены адреса, которые загружаются небезопасно. Лечится заменой адресов в базе и правкой шаблона.

Сертификат не на все имена. Второй классический случай. Сертификат выпустили на основной адрес, а на поддомены — нет. Владелец проверяет главную страницу, видит замочек и успокаивается. А региональный поддомен или кабинет клиента открывается с предупреждением, и об этом узнают только клиенты. Сюда же относится пара «с www и без www»: если сертификат выпущен только на один вариант, второй будет ругаться. Проверка простая — откройте по очереди все адреса, которые у вас есть, включая те, о которых вы забыли.

Когда этого недостаточно и когда нужен специалист

Инструкция выше закрывает типовой случай: один сайт, один сертификат, обычный хостинг с панелью. Она не поможет в четырёх ситуациях.

Первая: сайт уже несколько дней отдаёт предупреждение, и вы не знаете, где выпускался сертификат и у кого доступы. Здесь важна не теория, а скорость восстановления, и порядок действий зависит от того, что именно сломано.

Вторая: схема с посредником между посетителем и вашим сервером — распределённой сетью доставки или защитой от атак. Там сертификатов фактически два, и ошибка возникает на стыке. Разбираться надо в конфигурации, а не в настройках сертификата.

Третья: после перевода сайта на защищённый протокол просели позиции или трафик. Обычно причина не в сертификате, а в перенаправлениях, дублях адресов и смешанном контенте — то есть в технической части, которую сделали наполовину. Как именно протокол связан с позициями, разобрано в материале про то, влияет ли SSL на позиции сайта.

Четвёртая: у вас группа сайтов и поддоменов, и продление надо выстроить один раз так, чтобы оно не отваливалось. Это уже не разовая настройка, а схема с автоматизацией и мониторингом.

Во всех четырёх случаях цена ошибки измеряется не стоимостью сертификата, а сутками, в течение которых сайт пугает посетителей. Если этим никто не занимается, разумнее один раз заплатить за то, чтобы схему собрали и проверили. Начать можно с диагностики: бесплатный аудит сайта показывает состояние сертификата, смешанный контент и проблемы с перенаправлениями — то есть ровно тот технический слой, с которого начинается любая работа по SEO.

Частые вопросы

Бесплатный сертификат хуже для доверия посетителей?

Нет. Посетитель видит либо замочек, либо предупреждение. Свойства сертификата открывает примерно никто. Доверие строится ценами, отзывами, реквизитами и внешним видом сайта, а не уровнем проверки сертификата.

Можно ли поставить бесплатный сертификат на интернет-магазин?

Да, если вы не обрабатываете платёжные данные на своей стороне, а передаёте оплату платёжному сервису. Шифрование корзины и формы заказа бесплатный сертификат обеспечивает полностью.

Что делать прямо сейчас, если сертификат истёк?

Зайдите в панель хостинга и посмотрите раздел с сертификатами: в большинстве панелей есть кнопка выпуска бесплатного сертификата, и она решает вопрос за несколько минут. Если кнопка выдаёт ошибку проверки домена — проблема обычно в перенаправлениях или в защите, блокирующей проверочный запрос. Отключите её на время выпуска и включите обратно.

Нужен ли отдельный сертификат для почты?

Почтовый сервер шифрует соединение своим сертификатом, обычно он выпускается и продлевается хостингом отдельно. Сертификат сайта на почту не распространяется — это разные службы на разных именах.

Сертификат продлился, а предупреждение осталось. Почему?

Три частые причины: сервер не перезапустил службу и продолжает отдавать старый сертификат; новый сертификат установлен не во все места, если у вас есть внешний посредник перед сайтом; браузер отдаёт страницу из своего кэша. Проверьте по очереди: перезапуск, конфигурацию посредника, открытие сайта в приватном окне.

Коротко

Сертификат шифрует канал между посетителем и сервером и подтверждает, что вы на том сайте, чей адрес набрали. От взлома, дыр в плагинах и слабых паролей он не защищает — это другая работа.

Шифрование у бесплатного и платного одинаковое, и браузеры доверяют обоим. Отличия лежат в сроке действия, уровне проверки владельца, наличии страховки и наличии живой поддержки.

Бесплатного достаточно сайту услуг, блогу и магазину, который отдаёт оплату платёжному сервису. Платный или с проверкой организации имеет смысл, если вы сами обрабатываете платёжные данные, если вас подделывают, если это требование партнёра или если за автопродлением некому следить.

Главная реальная опасность не в цене, а в молчаливой поломке автопродления. В день просрочки посетитель видит предупреждение на весь экран, а не мелкое неудобство — и уходит.

Сроки сертификатов по отраслевым требованиям сокращаются шагами до 47 дней к марту 2029 года. Значит, ручное продление перестаёт работать как схема, и автоматизация с внешним напоминанием нужна всем.

Две ошибки портят результат независимо от цены: смешанный контент, когда часть файлов грузится по небезопасному адресу, и сертификат, выпущенный не на все имена сайта — забытые поддомены и вариант с www.

Если сайт уже показывает предупреждение, а доступы и ответственный неизвестны, не тратьте день на угадывание — в такой ситуации важна скорость. Приходите на консультацию: разберём, где выпускается ваш сертификат, почему сломалось продление и как выстроить схему, чтобы этот вопрос больше не всплывал. Заодно посмотрим смешанный контент и перенаправления — их обычно правят в том же заходе.