Что такое сертификат SSL

Что такое сертификат SSL, владелец сайта обычно узнаёт в неудачный момент: браузер начал писать «Не защищено» прямо рядом с формой заявки, и часть людей уходит, не заполнив её. Формально речь о файле, который подтверждает подлинность сайта и включает шифрование соединения между посетителем и сервером. Практически — о наличии или отсутствии предупреждения, которое видит каждый ваш посетитель. И о переезде на защищённый протокол, который меняет адрес каждой страницы сайта и при небрежном выполнении обваливает трафик на месяцы. Ниже — какой сертификат нужен именно вам, как перейти без потерь и по каким признакам понять, что переезд сделан неправильно.

Сегодня это не опция, а обязательное условие работы сайта. Браузеры помечают незащищённые сайты как небезопасные независимо от того, есть ли на них формы; часть возможностей браузера по незащищённому протоколу просто не запускается; платёжные системы без него не подключаются. В SEO я с 2005 года и застал время, когда сертификат был редкостью для крупных проектов, — сейчас его отсутствие вызывает вопрос не к бюджету сайта, а к тому, жив ли он вообще.

Что защищённое соединение даёт сайту

Прямое влияние на позиции есть, но небольшое: защищённый протокол учитывается как один из факторов и сам по себе никого в топ не поднимает. Гораздо важнее последствия, которые к ранжированию отношения не имеют, а на деньги влияют сильнее.

• Отсутствие предупреждения браузера. Надпись рядом с полем ввода телефона или почты убивает конверсию быстрее любых недостатков текста. Человек не разбирается, чем именно ему угрожают, — он закрывает вкладку.
• Корректная аналитика. При переходе с защищённого сайта на незащищённый данные об источнике перехода теряются, и трафик валится в «прямые заходы». Вы перестаёте понимать, откуда приходят люди.
• Работа современных возможностей браузера. Геолокация, уведомления, фоновые сценарии по незащищённому протоколу не запускаются в принципе.
• Доступ к современным версиям протокола передачи данных. Они работают только по защищённому соединению и обычно дают выигрыш в скорости, а не проигрыш.
• Возможность принимать оплату. Платёжные системы требуют защищённое соединение как обязательное условие подключения.
• Защита от подмены содержимого. По незащищённому протоколу провайдер или владелец публичной сети технически может встроить в вашу страницу чужую рекламу.
• Что такое мультиссылка, и как она создается
• Что такое лендинг и когда он работает лучше обычного сайта
• Бесплатный SSL-сертификат: чем отличается от платного и когда его недостаточно

Практический вывод для владельца: сертификат — вопрос не продвижения, а работоспособности. Обсуждать его целесообразность так же странно, как обсуждать целесообразность вывески на входе в магазин.

Какие бывают сертификаты

Тип	Что подтверждает	Кому нужен	Порядок цены
DV — проверка домена	Только то, что вы управляете доменом	Подавляющему большинству сайтов	Бесплатно
OV — проверка организации	Дополнительно существование юридического лица, название компании попадает в сертификат	Корпоративным сайтам, где важен формальный статус	Единицы тысяч рублей в год
EV — расширенная проверка	Полную проверку документов компании	Банкам и платёжным сервисам	Десятки тысяч рублей в год
Wildcard	Домен и все его поддомены одним файлом	Сайтам с городскими или языковыми поддоменами	Зависит от типа проверки
Мультидоменный	Несколько разных доменов одним сертификатом	Компаниям с несколькими доменами	Зависит от количества доменов

Ключевая деталь, которую продавцы платных сертификатов не подчёркивают: шифрование во всех типах одинаковое. Разница исключительно в объёме проверки владельца, то есть в том, что написано в сертификате, а не в том, насколько надёжно защищено соединение. Расширенная проверка когда-то давала зелёную строку с названием компании в адресной строке браузера, но браузеры от этой индикации отказались, и визуальных отличий для посетителя почти не осталось.

Отдельно про wildcard. Он нужен, если у вас есть поддомены: городские версии сайта, отдельный поддомен для магазина или для тестовой копии. Без него каждый поддомен требует собственного сертификата, и рано или поздно один из них забудут продлить — обычно тот, о котором все забыли, но который при этом открыт для посетителей.

Как поставить и почему платить обычно незачем

На большинстве хостингов бесплатный сертификат подключается в панели управления в два-три клика и дальше продлевается автоматически каждые несколько месяцев. Если панель хостинга этого не умеет, это не повод искать инструкции по ручной установке, а повод задуматься о смене хостинга: автоматическое продление — базовая функция, и её отсутствие обычно означает, что панель не обновлялась годами.

Три вещи, которые нужно проверить сразу после подключения, независимо от того, каким способом сертификат установлен:

Подробнее об этом — в статье «Индексация сайта: что это такое и как она работает».

1. Автопродление действительно включено. Не «должно быть включено по умолчанию», а видно в панели. Это самая частая причина внезапных предупреждений об угрозе безопасности.
2. Сертификат покрывает все нужные имена. И домен с www, и без него, и все поддомены, если они есть.
3. Цепочка сертификатов отдаётся полностью. Настольные браузеры часто прощают неполную цепочку, а мобильные и приложения — нет, поэтому проблема обнаруживается поздно и странным образом: у половины посетителей всё в порядке, у половины предупреждение.

Переход на защищённый протокол: порядок работ

Ошибки при переезде обходятся дороже, чем отсутствие сертификата, потому что меняется адрес каждой страницы сайта. Для поисковой системы это переезд, а не косметическая правка. Порядок работ такой:

Помогу с продвижением: продвижение сайта в поиске — вывожу сайты в топ Яндекса белыми методами.

О роли хостинга и настроек сервера в продвижении:

1. Установить сертификат и убедиться, что сайт открывается по защищённому адресу без предупреждений.
2. Настроить постраничное перенаправление с кодом 301: каждая страница уходит на свой собственный аналог, а не все скопом на главную. Это главный пункт списка.
3. Исправить внутренние ссылки — на относительные пути или на защищённый протокол. Касается не только ссылок, но и картинок, стилей, скриптов.
4. Проверить canonical на десятке типовых страниц разных шаблонов: они должны указывать на защищённые адреса.
5. Обновить карту сайта и путь к ней в robots.txt.
6. В панели вебмастера добавить защищённую версию и указать её главным зеркалом.
7. Поправить адреса во внешних сервисах: счётчик, цели, рекламные кампании, справочники организаций, профили в социальных сетях, подписи в письмах.
8. Отправить главные страницы на переобход, чтобы поисковая система быстрее увидела новые адреса.

2:36

Второй пункт стоит выделить отдельно, потому что именно на нём ломаются переезды. Правило вида «всё с незащищённого протокола отправить на главную» пишется одной строкой и выглядит рабочим: сайт открывается, ошибок нет. Но для поисковой системы это означает, что все внутренние страницы исчезли, а их содержимое переехало на главную. Старые адреса выпадают из индекса, новые воспринимаются как страницы без истории, и накопленные позиции обнуляются.

Смешанное содержимое — главная ошибка перехода

Страница отдаётся по защищённому протоколу, а картинки, стили или скрипты внутри неё грузятся по незащищённому. Браузер часть таких ресурсов блокирует: пропадает значок замка, ломается вёрстка, перестают работать формы. Причём сам владелец этого может не увидеть, если у него страница закеширована в браузере со старой версии.

Как найти: откройте консоль браузера на нескольких типовых страницах — там перечислены все ресурсы, загруженные по незащищённому протоколу, с точными адресами. Проверять нужно именно разные типы страниц, потому что чаще всего проблема сидит в одном шаблоне: например, в карточке товара или в подвале, который выводится не везде.

Тему разбирал отдельно: «Cookies — что это такое и зачем они нужны».

Как исправить в системе управления на базе базы данных: заменой адресов по базе специальным инструментом, а не прямым запросом на замену. Причина техническая и болезненная: часть настроек хранится в сериализованном виде, где записана длина каждой строки. Обычная замена длину не пересчитывает, данные перестают читаться, и настройки темы или расширений слетают молча. Восстанавливать это дольше, чем делать правильно.

Отдельно проверьте то, что не хранится в базе: жёстко прописанные адреса в файлах шаблона, в стилях, в загруженных вручную файлах. Эти места замена по базе не затрагивает, и именно они остаются последними источниками смешанного содержимого.

Ошибки, из-за которых переезд стоит месяцев

Ошибка	Что происходит	Как проверить
Перенаправление всех страниц на главную	Внутренние страницы выпадают из индекса, история адресов обнуляется	Открыть внутреннюю страницу по незащищённому адресу и посмотреть, куда ведёт переход
Временное перенаправление вместо постоянного	Поисковая система продолжает считать главным старый адрес и не переносит накопленные сигналы	Посмотреть код ответа сервера: должен быть 301, а не 302
Обе версии остаются доступными	Каждая страница существует в двух вариантах, образуются дубли	Открыть незащищённый адрес: он обязан перенаправлять, а не открываться
Забыли про поддомены	Поддомены остаются незащищёнными и выдают предупреждение	Открыть каждый поддомен по очереди, включая давно забытые
Не обновили адреса во внешних сервисах	Трафик идёт через лишнее перенаправление, часть целей перестаёт срабатывать	Проверить счётчик, рекламные кампании и справочники по списку
Отключилось автопродление	Сертификат истекает, браузер показывает предупреждение об угрозе, трафик падает за сутки	Посмотреть дату окончания и статус автопродления в панели хостинга

Типичный сценарий провала выглядит одинаково почти всегда: сертификат установлен самостоятельно, перенаправление настроено одной строкой на главную, внутренние ссылки остались прежними. Сайт при этом внешне работает, и проблему замечают не сразу, а через две-три недели, когда трафик уже просел. Восстановление после исправления занимает несколько недель, потому что поисковой системе нужно заново обойти все адреса. Всей истории можно избежать, потратив четверть часа на правильное правило перенаправления.

Что проверить после установки

Что проверяем	Как	Правильный результат
Открытие сайта	Зайти по защищённому адресу в чистом окне браузера	Замок на месте, предупреждений нет
Перенаправление	Открыть внутреннюю страницу по незащищённому адресу	Переход на её собственный аналог с кодом 301
Смешанное содержимое	Консоль браузера на главной, в разделе и в карточке	Сообщений о незащищённых ресурсах нет
Canonical	Исходный код десятка страниц разных шаблонов	Все указывают на защищённые адреса
Карта сайта	Открыть файл карты	Только защищённые адреса, старых нет
Аналитика	Счётчик и цели через сутки после переезда	Данные собираются, цели срабатывают
Срок действия	Панель хостинга или значок замка в браузере	Дата окончания видна, автопродление включено

Чего ждать по срокам

Кратковременная просадка на одну-три недели после переезда — нормальное явление: поисковая система переиндексирует адреса, и часть страниц временно теряет позиции. Если перенаправления настроены постранично, внутренние ссылки исправлены, а зеркало указано, позиции возвращаются полностью, причём обычно быстрее, чем ожидает владелец.

Если нужна помощь по теме — доработка сайта под SEO.

Если просадка держится дольше месяца, причина почти всегда в одном из трёх мест: перенаправление ведёт на главную вместо постраничного, код ответа временный вместо постоянного, или в шаблоне остались ссылки на незащищённый протокол. Проверяются эти три вещи за двадцать минут, и в подавляющем большинстве случаев виновник находится там.

Отслеживать процесс удобнее не по позициям, а по количеству страниц в поиске. В панели вебмастера видно, сколько адресов старой версии ещё числится в индексе и сколько новых там появилось. Пока первое число снижается, а второе растёт, всё идёт как надо, и дёргать ничего не нужно. Тревожный признак другой: старые адреса уходят, а новые не появляются в сопоставимом количестве. Это означает, что часть страниц потерялась по дороге — обычно из-за неверного перенаправления или из-за того, что карту сайта забыли обновить и робот просто не знает о существовании новых адресов.

Смежный материал по теме — «Метатег abstract что это такое».

Ещё одно наблюдение: чем крупнее сайт, тем дольше выравнивание. На сайте в несколько десятков страниц всё встаёт на место за пару недель, на сайте в несколько тысяч — за месяц-полтора, потому что робот обходит адреса порциями. Ускорить это можно отправкой на переобход главных разделов и обновлённой картой сайта, но полностью убрать паузу нельзя.

Частые вопросы

Нужен ли платный сертификат обычному сайту?

Нет. Шифрование одинаковое у бесплатного и платного, отличается только объём проверки владельца. Платный имеет смысл там, где формально требуется подтверждённое юридическое лицо в сертификате.

Замедляет ли защищённое соединение сайт?

Нет. Установка защищённого соединения добавляет небольшие накладные расходы, но современные версии протокола передачи данных работают только по защищённому соединению и обычно дают выигрыш, перекрывающий эти расходы.

Что будет, если сертификат истечёт?

Браузер покажет полноэкранное предупреждение об угрозе безопасности, и посетители уйдут, не дойдя до сайта. Трафик падает в течение суток. Автопродление снимает риск, но его настройку стоит проверить глазами, а не считать включённой по умолчанию.

Нужно ли защищённое соединение сайту-визитке без форм?

Да. Браузеры помечают незащищённые сайты независимо от того, что на них есть. Кроме того, по незащищённому протоколу содержимое страницы технически может быть подменено по дороге к посетителю.

Влияет ли защищённый протокол на позиции?

Влияет, но с небольшим весом. Гораздо важнее косвенные последствия: сохранённая конверсия, корректная аналитика, отсутствие дублей после правильно выполненного переезда.

Как быстро проверить, что переезд сделан правильно?

Открыть любую внутреннюю страницу по незащищённому адресу. Если она перенаправляет на свой собственный защищённый аналог — переезд сделан правильно. Если на главную — нет, и это надо исправлять немедленно.

Коротко

• Без сертификата браузер помечает сайт небезопасным, и это бьёт по конверсии сильнее, чем по позициям.
• Большинству сайтов достаточно бесплатного сертификата с проверкой домена: шифрование там точно такое же, как в платных.
• Wildcard нужен, если есть поддомены, иначе один из них рано или поздно окажется незащищённым.
• Перенаправление с незащищённого протокола делается постранично и с кодом 301, никогда не на главную.
• Смешанное содержимое — главная ошибка перехода, ищется в консоли браузера на страницах разных шаблонов.
• Просадка на одну-три недели нормальна; если держится дольше месяца, причина в перенаправлении, коде ответа или оставшихся незащищённых ссылках.
• Что такое мультиссылка, и как она создается
• Что такое лендинг и когда он работает лучше обычного сайта
• Бесплатный SSL-сертификат: чем отличается от платного и когда его недостаточно

Если переезд на защищённый протокол уже сделан и трафик не возвращается — разберём, где именно потерялись адреса, и составим порядок исправлений на SEO-консультации.