HTTPS: Как защитить свой сайт и защитить своих пользователей

HTTPS давно перестал быть преимуществом и стал условием, без которого сайт просто не работает нормально: браузер помечает страницы предупреждением, часть посетителей закрывает вкладку на этом месте, а формы заявок в некоторых сборках вообще отказываются отправляться. При этом сам переход занимает вечер работы, а вот его последствия для поиска растягиваются на месяцы, если сделать его небрежно.

Ниже — что защищённый протокол реально делает и чего не делает, какой сертификат брать и за что вообще берут деньги, полный порядок перехода с постраничными редиректами и список проверок, по которым видно: переезд прошёл чисто или у вас теперь две копии сайта в индексе.

Что происходит при защищённом соединении

Обычный протокол передаёт данные открытым текстом. Всё, что посетитель вводит на странице — телефон в форме заявки, адрес доставки, пароль от личного кабинета, — идёт по сети в читаемом виде. Между браузером и вашим сервером находится десяток промежуточных узлов: домашний роутер, провайдер, точка обмена трафиком, публичный Wi-Fi в кафе. На любом из них содержимое можно прочитать, а при желании и подменить.

Защищённый протокол добавляет к обмену шифрование. Браузер и сервер договариваются о ключах, после чего весь трафик между ними превращается в набор, который промежуточные узлы передают, но не понимают. Помимо секретности, здесь есть вторая функция, о которой вспоминают реже.

• Подтверждение подлинности. Сертификат доказывает, что вы соединились именно с тем сайтом, чей адрес набрали, а не с подставным сервером, куда вас увёл подменённый ответ.
• Защита от подмены содержимого. По открытому протоколу провайдер или владелец публичной сети технически может вставить в вашу страницу свой баннер или скрипт. При шифровании это невозможно.
• Доступ к современным возможностям браузера. Геолокация, работа с камерой, push-уведомления, сервис-воркеры — всё это браузеры отдают только защищённым страницам.
• Сохранение источника перехода. При переходе с защищённой страницы на открытую браузер обрезает информацию об источнике, и в вашей аналитике трафик превращается в прямые заходы.

Чего сертификат не делает: он не защищает сайт от взлома, не лечит дыры в движке, не спасает от подбора паролей и не убирает вирусы. Шифруется канал, а не сам сайт. Формулировка «у нас HTTPS, значит мы защищены» — самое опасное заблуждение в этой теме, потому что после установки сертификата про обновления движка и права на файлы обычно забывают.

Что это даёт для поиска

Прямого вознаграждения за защищённый протокол ждать не стоит: он не поднимает позиции сам по себе. Влияние идёт косвенно, через поведение людей и через техническое состояние сайта.

Браузер показывает на открытых страницах пометку о незащищённости, а если на странице есть поле ввода — ещё и предупреждение прямо в форме. Часть посетителей на этом уходит, часть перестаёт вводить телефон. Ухудшение поведенческих сигналов и падение конверсии видно в аналитике, и вот оно на позиции уже влияет.

Второй канал влияния — техническая чистота. Если сайт доступен по обоим протоколам без склейки, поисковая система видит две копии каждой страницы. Она выберет одну как основную, но выбор может не совпасть с вашими ожиданиями, а накопленные ссылочные сигналы окажутся размазаны между версиями. Это уже не про безопасность, а про дубли, и лечится тем же самым переездом, сделанным правильно.

Какой сертификат выбрать

Сертификаты различаются двумя параметрами: глубиной проверки владельца и охватом доменов. Шифрование во всех случаях одинаковое — за деньги вы покупаете не более крепкий замок, а более подробную проверку того, кто вы такой.

Тип	Что проверяется	Кому нужен
Проверка домена	Только владение доменом, автоматически, за минуты	Сайтам услуг, блогам, лендингам, большинству магазинов
Проверка организации	Существование юрлица по реестрам и документам	Сайтам, где важна публичная проверяемость компании
Расширенная проверка	Юрлицо, адрес, полномочия заявителя, звонок	Банкам, платёжным сервисам, крупным финансовым площадкам
На все поддомены	Владение основным доменом, покрывает поддомены	Сайтам с региональными или сервисными поддоменами

Для подавляющего большинства коммерческих сайтов подходит бесплатный сертификат с проверкой домена. Шифрование в нём такое же, как в платном за несколько тысяч в год, браузеры относятся к нему одинаково, разница только в сроке действия и в отсутствии проверки организации. Срок короткий — около трёх месяцев, — но продление делается автоматически на стороне хостинга, и в панели управления это обычно один переключатель.

Единственная ситуация, где короткий срок создаёт риск, — самостоятельная установка на своём сервере без настроенного автопродления. Тогда сертификат однажды истекает в выходные, и посетители видят красное окно с предупреждением вместо сайта. Проверить это просто: откройте сведения о сертификате в браузере и посмотрите дату окончания. Если она ближе двух недель, а автопродление вы не настраивали, поставьте себе напоминание.

Если нужны детали, смотрите «Как защитить сайт от накрутки».

Порядок перехода без потери позиций

Переезд ломает сайты не установкой сертификата, а тем, что делается вокруг неё. Порядок ниже проверен на десятках проектов и закрывает почти все типовые беды.

1. Установить сертификат и убедиться, что защищённая версия открывается. На этом этапе сайт доступен по обоим протоколам — это нормально, редирект ставится позже.
2. Поправить абсолютные ссылки в базе данных. Все внутренние ссылки, пути к картинкам, стилям и скриптам, записанные с указанием старого протокола, нужно заменить. Массовая замена по базе делается запросом, но перед ней обязательно снимается резервная копия.
3. Проверить шаблон и настройки движка. Адрес сайта в настройках, файл конфигурации, вручную прописанные пути в шаблоне — там часто остаются старые адреса, которых нет в базе.
4. Найти и починить смешанное содержимое. Пока хоть один элемент грузится по открытому протоколу, замок в адресной строке не появится.
5. Включить постраничный редирект 301. Именно постраничный: каждый старый адрес ведёт на такой же новый, а не все скопом на главную. Сваливание всего сайта на главную — способ потерять весь накопленный вес внутренних страниц.
6. Обновить canonical. Канонические ссылки должны указывать на защищённые адреса, иначе вы сами говорите поиску, что основная версия — старая.
7. Перегенерировать карту сайта и убедиться, что в ней только новые адреса.
8. Проверить robots.txt. Директива с адресом карты сайта тоже содержит протокол и тоже требует правки.
9. Указать новое главное зеркало в Вебмастере и добавить защищённую версию как отдельный сайт, если она не была добавлена раньше.
10. Проверить счётчики и цели. Метрика продолжит собирать данные, но составные цели и события, привязанные к адресам страниц, могут перестать срабатывать.
11. Обновить внешние ссылки, которыми управляете сами: карточки в справочниках, соцсети, подписи в почте, рекламные кампании.

Помогу с продвижением: заказать продвижение сайта — вывожу сайты в топ Яндекса белыми методами.

Отдельно про пункт с редиректом: он ставится последним из технических, когда всё остальное уже готово. Если включить его сразу после установки сертификата, а ссылки в базе не поправить, вы получите бесконечные переходы между версиями и белый экран вместо сайта.

Смешанное содержимое: где искать

Самая частая причина, по которой замок не появляется после переезда, — отдельные элементы страницы, которые продолжают грузиться по открытому протоколу. Браузер считает такую страницу частично защищённой и либо снимает замок, либо блокирует эти элементы, и тогда ломается вёрстка или перестаёт работать форма.

Ищется это в консоли браузера: откройте страницу, нажмите клавишу для инструментов разработчика, перейдите на вкладку с сообщениями и обновите страницу. Предупреждения о смешанном содержимом называют конкретные адреса — по ним и видно источник.

• Картинки, загруженные до перехода. Классика: путь записан в тексте статьи с указанием старого протокола.
• Шрифты и стили со сторонних сервисов. Подключённые много лет назад по старым адресам.
• Скрипты виджетов: карты, чаты, формы обратного звонка, счётчики.
• Встроенные видео и карты в старых записях. Код вставки прошлых лет часто содержит открытый протокол.
• Файлы для скачивания: прайсы, каталоги, договоры, на которые ведут прямые ссылки.

Чинится это либо массовой заменой по базе, либо, если элемент подключается сторонним сервисом, обновлением кода вставки. Проверять нужно не только главную: смешанное содержимое обычно живёт в старых записях блога и на служебных страницах, куда никто не заглядывает.

Что проверить после перехода

Через сутки после переезда пройдите короткий список. Он занимает полчаса и снимает большую часть рисков, которые иначе всплывут через месяц в виде просевшего трафика.

• Главная и внутренние страницы открываются по защищённому протоколу и отдают код 200.
• Старые адреса дают 301 на новые, причём постранично, а не на главную.
• Редирект работает в один шаг: не должно быть цепочки из трёх переходов подряд.
• Версия с www и без ведут на одну выбранную, а не существуют параллельно.
• В консоли браузера нет предупреждений о смешанном содержимом — проверьте главную, страницу услуги, карточку товара и запись блога.
• Канонические ссылки в исходном коде указывают на новые адреса.
• Карта сайта содержит только новые адреса и отдаётся без ошибок.
• В Вебмастере указано новое главное зеркало, ошибок в разделе диагностики не прибавилось.
• Метрика собирает визиты, цели срабатывают, форма заявки реально доходит до почты.
• Через месяц число страниц в поиске вернулось к прежнему уровню.

Последний пункт важнее остальных. Временная просадка в первые недели — обычное дело: поисковая система переиндексирует сайт по новым адресам, и часть страниц ненадолго выпадает. При правильных редиректах картина восстанавливается за месяц-полтора. Если через два месяца страниц в поиске заметно меньше — ищите ошибку в редиректах или в canonical, само не выправится.

Поддомены, внешние сервисы и почта

Сертификат выдаётся на конкретное имя. Основной домен закрыт, а поддомены — нет: каждый региональный, тестовый или сервисный поддомен требует либо своего сертификата, либо общего, выданного сразу на всё дерево имён. Забытый поддомен даёт то же самое красное окно с предупреждением, только его никто не видит месяцами, потому что владелец туда не заходит.

Подробнее об этом — в статье «Как защитить сайт от взлома».

Что стоит проверить отдельно от основного сайта:

• Региональные поддомены. Если их несколько, удобнее один сертификат на всё дерево, чем десяток отдельных с разными сроками окончания.
• Панель администратора на отдельном имени. Вход в неё передаёт пароль, и это ровно тот случай, где открытый протокол опаснее всего.
• Тестовые копии сайта. Они должны быть закрыты от индексации в принципе, но заодно проверьте, что оттуда нет ссылок на боевой сайт по старому протоколу.
• Файловый поддомен для картинок, если он используется: иначе весь сайт будет в смешанном содержимом из-за изображений.
• Почта на домене. Она живёт отдельно от сайта и своего сертификата обычно не требует, но настройки почтового клиента после переезда стоит проверить — шифрование соединения там задаётся вручную.

Второй пласт — внешние сервисы, которые ходят на ваш сайт. Платёжные системы, службы доставки, системы учёта, чат-боты и любые интеграции, где адрес обратного вызова прописан в чужой панели. После переезда каждый такой адрес нужно обновить вручную, потому что редирект часть сервисов не понимает: они просто получают ответ о переадресации и считают запрос неуспешным. Это ровно та поломка, которую обнаруживают через неделю по пропавшим оплатам или незагруженным заказам.

Отдельно проверьте выгрузки товаров для торговых площадок и агрегаторов. Файл выгрузки содержит ссылки на карточки товаров и адреса картинок, и если он собирается по старому шаблону, площадка продолжит вести покупателей на адреса, которые теперь работают через переадресацию. На больших каталогах это заметно бьёт по скорости загрузки страниц у покупателя и по проценту успешно загруженных предложений.

Типичные ошибки переезда

Список составлен по разборам чужих переездов — это то, что встречается чаще всего и стоит дороже всего.

Редирект всех страниц на главную. Самая дорогая ошибка. Внутренние страницы теряют накопленные сигналы, а посетитель по ссылке из поиска попадает не туда, куда шёл, и уходит. Восстанавливается долго.

Временный редирект вместо постоянного. Код 302 говорит поиску, что переезд ненадолго, и старые адреса остаются в индексе. Нужен именно 301.

Если нужна помощь по теме — разработка сайта под ключ.

Забытые канонические ссылки. Страница открывается по новому адресу, но в коде сообщает, что основная версия — старая. Поиск верит указанию в коде.

Правка ссылок поиском по файлам вместо базы. В большинстве движков ссылки лежат в базе данных, а не в файлах шаблона. Правка только файлов оставляет весь контент со старыми путями.

Тему разбирал отдельно: «Органический трафик: как получить бесплатных посетителей на свой сайт».

Переезд без резервной копии. Массовая замена по базе — операция, которую нельзя откатить кнопкой. Копия снимается до, а не после.

Переезд в сезон. Любой переезд — это несколько недель нестабильности. Делать его в пик продаж не стоит: выберите спокойный период.

Частые вопросы

Бесплатный сертификат хуже платного по защите?
Нет. Алгоритмы шифрования те же, браузеры относятся одинаково. Разница в проверке владельца и в сроке действия. Платить есть смысл, когда вам нужна проверка организации в сертификате или гарантия удостоверяющего центра как формальное требование.

Сколько сайт будет проседать после перехода?
Несколько недель при чистом переезде. Просадка выражается в частичном выпадении страниц из поиска и колебании позиций. Если через полтора-два месяца ситуация не выправилась, дело не в самом переезде, а в ошибке настройки.

Нужен ли защищённый протокол сайту-визитке без форм?
Нужен. Браузер помечает открытые страницы независимо от того, есть на них поля ввода или нет, а посетитель видит предупреждение и делает вывод о надёжности компании. Плюс без сертификата не работает часть функций браузера и теряются данные об источниках переходов.

Можно ли не ставить редирект, а просто открыть обе версии?
Технически можно, практически — нельзя. Вы получите полный дубль сайта: две копии каждой страницы, разделённые ссылочные сигналы и непредсказуемый выбор основной версии поиском. Редирект обязателен.

Что делать со старыми внешними ссылками на сайт?
Ничего специально делать не нужно: постраничный редирект передаёт посетителя и сигналы на новый адрес. Обновить стоит только те ссылки, которыми управляете сами, — карточки в справочниках, профили в соцсетях, подписи в письмах, рекламные объявления.

Сертификат установлен, а замка нет. Что не так?
Почти всегда смешанное содержимое. Откройте консоль браузера и посмотрите предупреждения — там будут конкретные адреса элементов, которые грузятся по старому протоколу. Вторая по частоте причина — кэш: страница отдаётся из старой копии, и после сброса кэша всё встаёт на место.

Технические проверки и работу с Вебмастером показываю на практике:

8:14

Коротко

• Защищённый протокол шифрует канал между браузером и сервером, но не защищает сам сайт от взлома — обновления движка и права на файлы он не отменяет.
• Для большинства сайтов достаточно бесплатного сертификата с проверкой домена: шифрование в нём такое же, как в платном.
• Переезд делается по порядку: сертификат, правка ссылок в базе, устранение смешанного содержимого, и только потом постраничный редирект 301.
• Редирект всех страниц на главную вместо постраничного — самая дорогая ошибка перехода, она обнуляет вес внутренних страниц.
• Отсутствие замка после установки сертификата почти всегда означает смешанное содержимое; конкретные адреса видны в консоли браузера.
• Просадка позиций на несколько недель нормальна; если через два месяца страниц в поиске меньше — ищите ошибку в редиректах или canonical.

Если переезд уже сделан, а трафик не вернулся или в поиске появились дубли, это разбирается на SEO-консультации: смотрю коды ответов, канонические ссылки, состав индекса и говорю, какая именно правка вернёт страницы в поиск. Технические доработки по итогам разбора — в разделе доработка сайта.