Нужно ли платить за SSL-сертификат?

В большинстве случаев нет: бесплатные сертификаты с автоматическим продлением обеспечивают точно такое же шифрование, как платные, и браузеры их одинаково принимают. Платить имеет смысл ради расширенной проверки организации или страховки — это нужно единицам проектов.

Что будет, если сертификат истечёт?

Браузер покажет полноэкранное предупреждение об опасности вместо сайта. Не «замочек пропал», а именно страница-заглушка, через которую пройдут единицы посетителей. Поэтому автопродление важнее выбора конкретного сертификата.

Влияет ли HTTPS на позиции в поиске?

Как самостоятельный фактор — слабо, но сайты без HTTPS в современной выдаче встречаются редко. Гораздо весомее косвенный эффект: браузер помечает такие сайты как небезопасные, и посетители уходят до того, как увидят содержимое.

Сайт перешёл на HTTPS — что ещё нужно сделать?

Настроить постоянный редирект с HTTP на HTTPS, проверить, что все внутренние ссылки и изображения загружаются по HTTPS, обновить адрес в панелях вебмастеров и в счётчиках аналитики. Без последнего вы просто перестанете видеть часть статистики.

SSL-сертификат: зачем нужен и какой выбрать

SSL-сертификат воспринимают как галочку в чек-листе запуска: «замочек есть, значит всё в порядке». На деле вопросов здесь три: зачем он нужен на самом деле, какой брать и что сделать, чтобы он не истёк в самый неподходящий момент.

Что даёт HTTPS

Шифрование. Данные между браузером и сервером передаются в закрытом виде. Без этого всё, что вводит посетитель — телефон, почта, сообщение в форме, — идёт открытым текстом.

Доверие браузера. Это сейчас важнее шифрования по практическим последствиям. Сайт без сертификата браузер помечает как небезопасный, а при вводе данных в форму показывает предупреждение. Посетитель уходит, не разбираясь.

Требование для части функций. Геолокация, уведомления, платёжные виджеты — многое просто не работает без HTTPS.

Корректная аналитика. Переходы с защищённых сайтов на незащищённые теряют информацию об источнике, и в отчётах растёт доля «прямых заходов», которых на самом деле не было.

Какой сертификат выбрать

Типов формально три, но практический выбор проще, чем кажется.

Проверка домена. Подтверждается только то, что вы управляете доменом. Выдаётся автоматически за минуты. Именно этот тип используют бесплатные центры сертификации. Шифрование — точно такое же, как у платных.

Проверка организации. Дополнительно проверяются юридические данные компании. Занимает несколько дней, стоит от 3 000 ₽ в год.

Расширенная проверка. Углублённая проверка организации, от 15 000 ₽ в год. Раньше давала зелёную строку с названием компании в браузере — сейчас браузеры от этого отказались, и видимого отличия для посетителя не осталось.

Практический вывод: для подавляющего большинства сайтов достаточно бесплатного сертификата с автоматическим продлением. Платные оправданы в банковской сфере и там, где требования диктует отрасль или партнёр.

Главное — автопродление

Бесплатные сертификаты выдаются на короткий срок, обычно 90 дней. Это не недостаток, а особенность модели: продление автоматизировано и происходит без участия человека.

Проблема возникает, когда автопродление настроено криво или сломалось после переноса сайта. Тогда в один день посетители видят вместо сайта предупреждение об опасности.

Что проверить у своего хостинга:

сертификат продлевается автоматически;
приходит уведомление, если продление не удалось;
вы знаете, кто это чинит — вы, подрядчик или поддержка хостинга.

Это часть той рутины, которая обычно входит в поддержку сайта: вспоминают о ней ровно в момент отказа.

Что сделать при переходе на HTTPS

Если сайт работал по HTTP, одной установкой сертификата дело не заканчивается.

1. Постоянный редирект с HTTP на HTTPS. Все старые адреса должны вести на защищённые версии. Без этого у вас две копии сайта, и поиск считает их дублями.

2. Проверить смешанное содержимое. Если страница загружается по HTTPS, но тянет изображения или скрипты по HTTP, браузер ругается, а часть содержимого может не отобразиться. Проверяется в консоли разработчика.

3. Обновить внутренние ссылки. Абсолютные ссылки с http:// внутри текстов и в базе.

4. Обновить адрес в панелях вебмастеров. Версии с HTTP и HTTPS для них — разные сайты.

5. Обновить счётчики аналитики. Иначе часть данных перестанет собираться.

6. Проверить, что работают формы и интеграции. Внешние сервисы, настроенные на старый адрес, могут отвалиться.

Похожая по смыслу задача — перенос сайта на другую платформу, там действует та же логика с редиректами: подробно в статье как перенести сайт с Tilda.

Частые заблуждения

«HTTPS защищает сайт от взлома». Не защищает. Он шифрует канал между браузером и сервером, но никак не влияет на уязвимости самого сайта, слабые пароли или устаревшие компоненты.

«У нас нет форм, сертификат не нужен». Нужен: браузер пометит сайт как небезопасный независимо от наличия форм.

«Дорогой сертификат безопаснее». Уровень шифрования одинаковый. Разница только в глубине проверки организации.

«Замочек есть — всё настроено». Замочек показывает, что текущая страница загружена по HTTPS. Он ничего не говорит о редиректах, смешанном содержимом и сроке действия.

Сколько стоит

Вариант	Цена	Кому
Бесплатный с автопродлением	0 ₽	Практически всем
С проверкой организации	от 3 000 ₽/год	Когда требует партнёр или отрасль
С расширенной проверкой	от 15 000 ₽/год	Финансы, узкие отраслевые требования

У большинства хостинг-провайдеров бесплатный сертификат подключается в панели в один клик и дальше живёт сам. Что ещё стоит проверить у провайдера при выборе — в статье как выбрать хостинг.

Итог

Берите бесплатный сертификат с автоматическим продлением — по шифрованию он не отличается от платного. Важнее не тип сертификата, а три вещи: работает ли автопродление, настроен ли редирект с HTTP и нет ли смешанного содержимого.

И помните, что HTTPS — это про защиту канала связи, а не про защиту сайта. Базовые меры против взлома — отдельная тема, и одно другого не заменяет.