Сайт работает, а денег нет? Проверьте TLS соединение — клиенты до вас просто не доходят

Сайт работает, реклама крутится, бюджет уходит, а заявок нет — и первое, что стоит проверить, это TLS-соединение, потому что часть посетителей до вас просто не доходит. Их не видно ни в аналитике, ни в записях визитов: человек не попал на сайт, значит, счётчик не сработал и следа не осталось. Ошибка в настройке защищённого соединения — одна из немногих проблем, которые полностью невидимы изнутри и при этом стоят реальных денег каждый день. Ниже — как это устроено, кто именно теряется, как проверить свой сайт за десять минут и что требовать от хостинга.

Что происходит до того, как откроется страница

Когда человек переходит по адресу с защищённым соединением, браузер и сервер сначала договариваются, как они будут общаться: какой версией протокола пользоваться и какими наборами шифров. Это называется рукопожатием, и оно происходит до загрузки первого байта содержимого.

Если договориться не удалось — общего протокола или общего набора шифров у них нет, — соединение не устанавливается вовсе. Человек видит не ваш сайт, а сообщение браузера о невозможности установить защищённое соединение. Для него это выглядит как «сайт не работает», и в девяти случаях из десяти он возвращается в выдачу и открывает конкурента.

Ключевой момент: вы этого не увидите никогда. Счётчик аналитики загружается вместе со страницей, а страница не загрузилась. В отчётах такого визита нет. Владелец сайта смотрит на статистику и видит нормальную картину — просто визитов меньше, чем могло бы быть, а сравнивать не с чем.

Этим ошибка соединения отличается от всех остальных проблем сайта. Медленная загрузка видна в измерениях. Неудобная форма видна в записях визитов. Плохой текст виден по времени на странице. А несостоявшееся соединение не оставляет следа нигде: единственный способ его обнаружить — проверить сервер снаружи и сравнить данные из разных источников между собой. Именно поэтому такие ошибки живут на сайтах годами, пока кто-нибудь не полезет в конфигурацию по другому поводу.

Типовая ошибка, которая встречается чаще всего

Стандартная конфигурация большинства хостингов настраивается один раз при подключении и потом не пересматривается годами. Выглядит она обычно так: устаревшие версии протокола включены, современная — нет.

Устаревшие версии оставляют «на всякий случай», чтобы никого не отсечь. Логика понятная, но она перестала работать: современные браузеры сами отказываются соединяться по устаревшим протоколам и показывают предупреждение о небезопасности. То есть эти версии уже никого не спасают, зато создают уязвимость и портят оценку безопасности сайта.

Одновременно самая свежая версия протокола часто отключена — просто потому, что при настройке сервера её ещё не было или её не включили по умолчанию. А она не только безопаснее, но и заметно быстрее: рукопожатие требует меньше обменов между браузером и сервером, и страница начинает загружаться раньше. На мобильном соединении разница ощутима.

Что должно быть включено, а что выключено

Протокол	Состояние	Почему
SSL 2.0 и SSL 3.0	Выключить	Устарели окончательно, содержат известные уязвимости, ни один браузер их не использует
TLS 1.0	Выключить	Не поддерживается современными браузерами, снижает оценку безопасности
TLS 1.1	Выключить	То же самое: держать смысла нет, риск есть
TLS 1.2	Включить	Рабочий минимум, поддерживается всем, что вышло за последнее десятилетие
TLS 1.3	Включить	Быстрее и безопаснее, сокращает время установки соединения

Правило простое: две последние версии включены, всё остальное выключено. Опасение «а вдруг кто-то со старым устройством не зайдёт» на практике не оправдывается: доля таких посетителей близка к нулю, а вред от устаревших протоколов измерим.

Тему разбирал отдельно: «Домен не работает, а хостинг жив: как записи DNS роняют сайт».

Есть и третья составляющая, о которой вспоминают редко, — наборы шифров. Даже при правильно выбранных версиях протокола сервер может предлагать устаревшие или слабые способы шифрования. Строгий клиент, не найдя в списке ничего приемлемого, разорвёт соединение точно так же, как при несовпадении версий. Внешне картина та же: у одних сайт открывается, у других нет, и никакой закономерности не видно. Поэтому проверять надо не только строку с версиями протокола, но и весь отчёт сервиса проверки целиком.

Кто именно до вас не доходит

• Посетители с корпоративных компьютеров. В организациях часто стоят политики безопасности, запрещающие соединения по устаревшим протоколам и со слабыми шифрами. Для сегмента, где решение о покупке принимают на работе, это прямая потеря заявок.
• Пользователи браузеров со строгими настройками. Режимы повышенной защиты блокируют соединение вместо того, чтобы показать предупреждение.
• Мобильные посетители в некачественных сетях. Длинное рукопожатие по старому протоколу на плохом соединении чаще обрывается по тайм-ауту.
• Поисковые роботы. Робот, столкнувшийся с проблемой соединения, откладывает обход. Регулярные сбои приводят к падению частоты обхода и медленной индексации.
• Сервисы, которые проверяют сайт. Модерация рекламных площадок, агрегаторы, справочники — все они периодически обращаются к сайту, и ошибка соединения для них означает проблему с ресурсом.

Как проверить свой сайт за десять минут

1. Проверьте состав протоколов. Любой публичный сервис проверки защищённого соединения покажет, какие версии включены на вашем сервере и какие наборы шифров поддерживаются. Сравните с таблицей выше.
2. Проверьте срок действия сертификата. Истёкший сертификат — самая грубая и самая частая причина того, что сайт «перестал открываться».
3. Проверьте цепочку сертификатов. Очень распространённая ошибка: сертификат установлен, но промежуточные звенья цепочки не подгружены. На компьютере всё открывается, потому что там нужные данные уже сохранены, а на телефоне или на чужом устройстве — предупреждение. Именно поэтому проблему так часто не замечают.
4. Проверьте, что все варианты адреса ведут на один. Адрес с приставкой и без неё, защищённая и незащищённая версия — всё должно приводить к одному варианту одной переадресацией, а не цепочкой из трёх.
5. Проверьте смешанное содержимое. Если страница загружается по защищённому соединению, а картинки, скрипты или стили тянутся по незащищённому, браузер либо заблокирует их, либо покажет предупреждение о небезопасности страницы.
6. Откройте сайт на чужом телефоне. Не на своём — на нём всё уже настроено и сохранено. Именно чужое устройство показывает картину, близкую к тому, что видит новый посетитель.

Что ещё ломает соединение

Помогу с продвижением: продвижение бизнеса в Яндексе — вывожу сайты в топ Яндекса белыми методами.

Протоколы — самая частая, но не единственная причина. Есть ещё четыре, которые встречаются почти так же регулярно.

Несовпадение имени в сертификате. Сертификат выпущен на один вариант адреса, а сайт открывается по другому. Браузер сообщает, что соединение не защищено, потому что имя не совпадает. Обычно всплывает после переезда или добавления поддомена.

Автопродление, которое не сработало. Бесплатные сертификаты выпускаются на короткий срок и продлеваются автоматически. Механизм иногда ломается молча, и сайт перестаёт открываться в выходные, когда некому заметить. Стоит завести отдельное напоминание за две недели до истечения срока.

Слабые наборы шифров. Даже при правильных версиях протокола сервер может предлагать устаревшие шифры. Строгие клиенты откажутся от соединения, а сервисы проверки понизят оценку безопасности.

Разная настройка на основном домене и поддоменах. Классическая ситуация: основной сайт настроен правильно, а поддомены остались со старой конфигурацией или вовсе без сертификата. Если поддомены участвуют в поиске, вы теряете именно их трафик.

Смежный материал по теме — «Кэш браузера на пять минут: постоянные клиенты качают ваш сайт заново каждый раз».

Как это связано с поиском и рекламой

Прямого фактора ранжирования «версия протокола» не существует. Влияние идёт по трём косвенным линиям, и суммарно оно заметное.

Скорость. Современный протокол сокращает время установки соединения, а время до первого байта входит в общую оценку скорости страницы. На мобильных соединениях выигрыш измеряется сотнями миллисекунд на каждом обращении.

Доступность для робота. Ошибки соединения при обходе приводят к тому, что робот заходит реже. Медленный обход означает медленную индексацию новых страниц и задержку в появлении правок в выдаче.

Поведение людей. Посетитель, увидевший предупреждение о небезопасности, возвращается в выдачу. Возврат к результатам поиска — один из самых весомых поведенческих сигналов, и в этой ситуации вы получаете его в чистом виде.

С рекламой всё ещё прямее: вы платите за переход, который не состоялся. Деньги списаны, человек до страницы не дошёл. При этом в статистике рекламной системы клик зафиксирован, а в аналитике сайта визита нет — и расхождение между этими двумя числами, кстати, отличный способ обнаружить проблему.

Как поставить задачу хостингу

Формулировка должна быть конкретной, иначе ответ будет «у нас всё работает». Просите буквально следующее:

• Отключить SSL 2.0, SSL 3.0, TLS 1.0 и TLS 1.1 для всех доменов и поддоменов аккаунта.
• Включить TLS 1.2 и TLS 1.3.
• Убрать из конфигурации устаревшие наборы шифров, оставив современные.
• Проверить полноту цепочки сертификатов, включая промежуточные звенья.
• Подтвердить, что настройки применены ко всем поддоменам, а не только к основному домену.
• Прислать результат проверки любым публичным сервисом после изменений.

Если хостинг отказывается или тянет со сроками, есть обходной путь: поставить перед сайтом сервис распределения содержимого, который сам отвечает за соединение с посетителем. Тогда версии протокола и наборы шифров определяются на его стороне, а не на стороне хостинга, и вопрос закрывается без правки серверной конфигурации. Побочный выигрыш — ускорение отдачи статических файлов и снижение нагрузки. Побочный риск — ещё одно звено в цепочке, за состоянием которого тоже придётся следить.

Если нужны детали, смотрите «Виды перелинковки: какая усиливает сайт, а какая просто засоряет его ссылками».

Последний пункт важнее остальных: он превращает «мы всё сделали» в проверяемый факт. И повторите проверку сами через несколько дней — на некоторых панелях управления настройки возвращаются к прежним после обновления конфигурации.

Что проверить в тот же день по всему техническому слою

Соединение — часть более широкой проблемы: между человеком, увидевшим ваш сниппет в выдаче, и загруженной страницей стоит несколько технических барьеров, и каждый из них невидим изнутри. Раз уж вы взялись за проверку, пройдите весь список — займёт полчаса, а находки обычно есть у всех.

• Коды ответа сервера. Главная, ключевые категории, несколько карточек и любая несуществующая страница. Первые должны отдавать код успешной загрузки, последняя — код отсутствия страницы. Удивительно часто выясняется, что несуществующие адреса отдают код успеха, и в индекс попадает бесконечное число мусорных страниц.
• Время ответа сервера. Если оно больше секунды, часть посетителей уходит до появления содержимого, а робот сокращает частоту обхода. Смотрится в статистике обхода и в любом инструменте проверки скорости.
• Доступность при нагрузке. Сайт может открываться у вас и падать в часы пик. Признак — провалы в графике посещаемости в одно и то же время суток.
• Работа без скриптов. Отключите их в браузере и посмотрите, что осталось от меню и содержимого. То, что исчезло, робот может не увидеть.
• Мобильная версия на реальном устройстве. Не в уменьшенном окне браузера: горизонтальная прокрутка, слишком мелкие кнопки и перекрытые всплывающими окнами формы обнаруживаются только на телефоне.
• Формы обращения. Отправьте заявку сами, с телефона и с компьютера, и проверьте, дошла ли она. Неработающая форма — самая обидная из всех технических потерь, и встречается она чаще, чем кажется.

Частые вопросы

У меня всё открывается — значит, проблемы нет? Не значит. Ваш браузер уже сохранил нужные данные о сертификате, а настройки безопасности у вас, скорее всего, обычные. Проблема проявляется у части посетителей, и именно у той части, которую вы никогда не увидите в аналитике.

Насколько это срочно, если сайт годами так работает? Срочность определяется тем, сколько вы платите за трафик. Если рекламный бюджет заметный, каждый день с неверной настройкой — это оплаченные и потерянные переходы. Если трафик только поисковый, срочность ниже, но исправление всё равно занимает часы, а не недели.

Может ли отключение старых протоколов кому-то помешать зайти? Теоретически да — владельцам очень старых устройств и браузеров, которые не обновлялись много лет. На практике доля таких посетителей ничтожна, а часть из них и так не сможет пользоваться современным сайтом. Выигрыш от отключения перевешивает.

Бесплатный сертификат хуже платного? С точки зрения шифрования и работы браузеров — нет, разницы для обычного сайта нет. Разница в сроке действия и в дополнительных гарантиях, которые важны в основном для крупных площадок с платежами. Главная проблема бесплатных сертификатов не в качестве, а в том, что автопродление иногда молча ломается.

Нужно ли что-то менять на самом сайте после исправления настроек сервера? Обычно нет, настройки протоколов живут на уровне сервера и содержимого не касаются. Исключение — смешанное содержимое: если в коде страниц остались ссылки на ресурсы по незащищённому адресу, их придётся заменить. Проще всего искать их массово по базе или по файлам шаблона, а не вручную по страницам.

Как понять, что проблема именно в соединении, а не в чём-то другом? Сравните число кликов в рекламной системе с числом визитов в аналитике за тот же период. Небольшое расхождение нормально всегда, значительное и устойчивое — повод проверять техническую часть, и настройка защищённого соединения здесь первый подозреваемый.

Коротко

• Рукопожатие происходит до загрузки страницы: если оно не удалось, визита не будет ни на сайте, ни в аналитике.
• Типовая ошибка хостинга — устаревшие версии протокола включены, современная выключена.
• Правило простое: две последние версии включены, всё остальное отключено.
• Неполная цепочка сертификатов не видна на своём компьютере и проявляется на чужих устройствах.
• Расхождение между кликами в рекламе и визитами в аналитике — быстрый способ обнаружить проблему.
• Задачу хостингу надо ставить перечнем конкретных пунктов и требовать результат проверки после исправления.

Если заявок меньше, чем должно быть при таком трафике, а причина не находится, разобрать техническую часть можно на SEO-консультации: проверим соединение, доступность для роботов и расхождения между источниками данных и найдём, где теряются посетители.