Сертификат безопасности сайта: зачем нужен, как продлевать и что будет, если забыть

Однажды утром владелец бизнеса открывает свой сайт и видит вместо привычной главной страницы предупреждение на весь экран: «Подключение не защищено, злоумышленники могут пытаться похитить ваши данные». Красный значок, кнопка «Вернуться к безопасности», мелкая ссылка «Всё равно перейти» где-то внизу. Сайт при этом полностью работоспособен — просто истёк срок действия сертификата безопасности.

За тот день, что уходит на разбирательство, компания теряет практически весь поток обращений: подавляющее большинство посетителей не станет игнорировать такое предупреждение. Разберём, что такое сертификат безопасности, зачем он нужен, как устроено его продление, что происходит при просрочке и какие менее заметные проблемы бывают с защищённым соединением.

Что такое защищённое соединение простыми словами

Когда человек открывает сайт, между его устройством и сервером идёт обмен данными. Без защиты этот обмен ведётся открытым текстом: всё, что человек вводит в формы — имя, телефон, адрес, данные для оплаты, — передаётся так, что при желании это можно перехватить и прочитать.

Защищённое соединение решает две задачи. Первая — шифрование: данные превращаются в бессмысленный набор символов, который можно расшифровать только на стороне получателя. Вторая, не менее важная, — подтверждение подлинности: браузер убеждается, что сайт действительно тот, за который себя выдаёт, а не подделка.

Сертификат безопасности — это как раз документ, подтверждающий подлинность. Его выдаёт удостоверяющий центр, браузер его проверяет и на основании проверки показывает замочек в адресной строке или предупреждение.

Ключевая деталь: у сертификата есть срок действия. Он не бессрочный, и это порождает всю дальнейшую историю.

Зачем защищённое соединение обычному сайту компании

Возражение, которое звучит регулярно: «У меня простой сайт-визитка, я не принимаю оплату, зачем мне это?» Причин несколько, и все практические.

Браузеры помечают незащищённые сайты. Современные браузеры показывают предупреждение при вводе данных в формы на незащищённых страницах. Ваша форма обратной связи — это ввод данных. Человек видит предупреждение прямо в момент, когда собирается оставить заявку.

Мобильные браузеры особенно строги. На телефоне предупреждение может занимать половину экрана.

Поисковые системы учитывают защищённость. Это не решающий фактор, но при прочих равных незащищённый сайт в проигрыше.

Доверие. Замочек в адресной строке стал привычным признаком нормального сайта. Его отсутствие замечают не все, но те, кто замечает, часто уходят.

Часть современных возможностей не работает без защиты. Определение местоположения, работа с камерой, некоторые способы уведомлений просто недоступны на незащищённых страницах.

Провайдеры могут вмешиваться в содержимое. На незащищённых сайтах теоретически возможна подмена содержимого по пути — например, вставка чужой рекламы.

Итог: защищённое соединение сегодня — не опция, а базовое требование к любому сайту, независимо от его назначения.

Виды сертификатов и что выбрать

Разнообразие вариантов сбивает с толку, хотя на практике выбор простой.

По уровню проверки сертификаты делятся на три типа.

Проверка домена — самый простой и распространённый вариант. Удостоверяющий центр убеждается, что вы управляете доменом, и выдаёт сертификат. Выпускается за минуты, часто бесплатно. Для абсолютного большинства сайтов компаний и магазинов этого достаточно.

Проверка организации — дополнительно проверяются сведения о компании. Выпуск занимает несколько дней. Имеет смысл, когда важно, чтобы в свойствах сертификата было указано название организации.

Расширенная проверка — самая тщательная процедура. Раньше давала особое оформление адресной строки, сейчас визуально почти не отличается от простого варианта, поэтому смысл переплаты для большинства сайтов сомнителен.

По охвату сертификаты бывают на один домен, на домен со всеми поддоменами и на несколько разных доменов. Если у вас есть поддомены — например, отдельный адрес для магазина или личного кабинета, — берите вариант, покрывающий поддомены, иначе придётся управлять несколькими сертификатами.

По стоимости разброс от нуля до внушительных сумм. Бесплатные сертификаты с проверкой домена, выпускаемые автоматически, по уровню защиты не уступают платным — разница в процедуре проверки и в поддержке, а не в качестве шифрования. Их особенность — короткий срок действия, обычно около трёх месяцев, что делает автоматическое продление обязательным.

Как устроено продление и почему оно ломается

Здесь и кроется корень большинства проблем.

Автоматическое продление — стандартный механизм для бесплатных сертификатов. На сервере работает служба, которая заранее обращается в удостоверяющий центр, подтверждает права на домен и получает новый сертификат. Всё происходит без участия человека.

Ломается это по нескольким типичным причинам: изменились настройки сервера, и служба не может пройти проверку; домен переехал на другие настройки; служба перестала запускаться после обновления серверного окружения; сайт переехал на другой хостинг, а настройка не переехала вместе с ним.

Коварство в том, что поломка происходит тихо. Сертификат ещё действует, ошибка продления никому не видна, и всё выясняется в день истечения.

Ручное продление используется для платных сертификатов. Здесь всё зависит от того, дошло ли до нужного человека уведомление и сделал ли он что-то. Типичные провалы: уведомления приходят на почту сотрудника, который уволился; счёт на продление затерялся в бухгалтерии; сертификат продлили, но забыли установить новый на сервер.

Последний случай особенно обиден: деньги заплачены, сертификат выпущен, а на сайте по-прежнему старый, потому что установка — отдельное действие.

Что происходит при просрочке

Последствия наступают мгновенно и жёстко.

Все посетители видят полноэкранное предупреждение. Не мелкий значок, а именно страницу-заглушку с красным оформлением и текстом об угрозе безопасности.

Подавляющее большинство людей уходит. Переход по ссылке «всё равно продолжить» требует осознанного действия и понимания, что происходит; обычный посетитель просто закрывает вкладку.

Обращения прекращаются практически полностью. Формы недоступны, звонков нет, потому что никто не доходит до страницы с телефоном.

Прекращают работать связанные сервисы. Приём онлайн-оплаты, обмен данными с учётной системой, отправка данных в аналитику — многое из этого перестаёт функционировать.

Поисковые системы фиксируют проблему. При длительной просрочке возможны последствия для индексации.

Пропадает доверие. Человек, увидевший предупреждение об угрозе, запоминает это, даже если через день всё исправлено.

Хорошая новость: устраняется просрочка обычно быстро — от нескольких минут до пары часов. Плохая: сутки простоя в разгар сезона могут стоить больше, чем годовое обслуживание сайта.

Как сделать так, чтобы это не повторилось

Набор мер простой и недорогой.

Настройте мониторинг срока действия. Существуют сервисы, которые проверяют сертификат вашего сайта и предупреждают заранее — за месяц, за неделю, за три дня. Это самая надёжная страховка, потому что она не зависит от того, работает ли автоматическое продление.

Проверьте, куда приходят уведомления. Адрес должен быть рабочим и принадлежать действующему сотруднику или, лучше, общему ящику компании, который читают несколько человек.

Заведите напоминание в календаре. Дублирование не помешает.

Проверьте, что автоматическое продление действительно работает. Не «должно работать по настройке», а реально сработало хотя бы раз. Посмотрите дату выпуска текущего сертификата: если она свежая, механизм жив.

Зафиксируйте, кто отвечает. Самая частая причина просрочки — размытая ответственность: владелец думает, что этим занимается разработчик, разработчик — что хостинг, хостинг — что владелец.

Включите проверку сертификата в регулярное обслуживание сайта. Если у вас есть подрядчик на сопровождение, это должно быть частью его работы.

Менее заметные проблемы с защищённым соединением

Просрочка — самая громкая, но не единственная беда.

Смешанное содержимое

Ситуация, когда сама страница загружается по защищённому протоколу, но отдельные её элементы — картинки, стили, скрипты — подтягиваются по незащищённому. Браузер в этом случае либо показывает предупреждение, либо просто блокирует такие элементы.

Внешне это выглядит как «пропали картинки» или «сломалась вёрстка на одной странице». Возникает обычно после переноса сайта на защищённое соединение, когда в текстах остались старые ссылки.

Лечится заменой ссылок в содержимом страниц и в настройках. Проверяется просмотром сообщений об ошибках в браузере на ключевых страницах.

Отсутствие перенаправления

Сайт доступен и по защищённому, и по обычному адресу одновременно. Для поисковых систем это два разных сайта с одинаковым содержимым — классический источник дублей.

Решение — принудительное перенаправление всех обращений на защищённую версию плюс указание основного адреса в настройках.

Разные варианты адреса

Сайт может быть доступен с приставкой и без неё, с косой чертой в конце и без. Каждая комбинация должна вести на один основной вариант.

Сертификат не покрывает поддомен

Основной сайт работает нормально, а поддомен — например, отдельный адрес личного кабинета — выдаёт ошибку. Значит, сертификат выписан только на основной домен.

Устаревшие настройки шифрования

Сервер может использовать давно устаревшие способы шифрования, которые современные браузеры отвергают. Проявляется странно: у части посетителей сайт открывается, у части — нет. Проверяется специальными сервисами оценки настроек соединения.

Неверная установка цепочки

Сертификат установлен, но без промежуточных звеньев подтверждения. На компьютере всё открывается, а на некоторых мобильных устройствах — ошибка. Одна из самых неприятных ситуаций, потому что владелец сайта у себя проблемы не видит.

Как проверить своё состояние прямо сейчас

Несколько простых действий, которые займут десять минут.

Откройте сайт и нажмите на значок замочка в адресной строке. Браузер покажет, кем выдан сертификат и до какой даты действует. Запишите дату.

Откройте сайт по обычному, незащищённому адресу и проверьте, происходит ли перенаправление на защищённую версию.

Проверьте все поддомены, если они есть.

Откройте сайт на телефоне, желательно не на своём привычном, а на чужом — так выявляются проблемы с цепочкой подтверждения.

Пройдитесь по нескольким внутренним страницам, включая те, где есть формы и внешние элементы, и посмотрите, нет ли предупреждения о смешанном содержимом.

Проверьте настройки соединения через любой сервис оценки — они показывают, нет ли устаревших способов шифрования.

И самое важное — выясните, кто и как отвечает за продление, и настроено ли предупреждение о приближении срока.

Короткая памятка

1. Защищённое соединение нужно любому сайту, даже без оплаты на нём.
2. Для большинства достаточно сертификата с проверкой домена.
3. Если есть поддомены — сертификат должен покрывать и их.
4. Автоматическое продление обязательно проверять, а не просто настраивать.
5. Уведомления должны приходить на живой адрес.
6. Отдельно настройте внешний мониторинг срока действия.
7. Проверьте перенаправление с незащищённой версии.
8. Проверьте отсутствие смешанного содержимого.
9. Проверьте, как сайт открывается на чужом телефоне.
10. Назначьте ответственного письменно.

Итог

Сертификат безопасности — та часть инфраструктуры сайта, которая не требует внимания годами, а потом за один день обнуляет поток обращений. Стоит это внимание немного: настроенное предупреждение о сроке, проверенное автоматическое продление и понятная ответственность.

Особенно важно не полагаться на «у нас всё настроено» без проверки. Настройки ломаются при переездах, обновлениях и смене подрядчиков, причём молча.

Если вы не уверены в состоянии защищённого соединения на своём сайте или просто хотите спать спокойнее, — специалисты компании «Сайты Профессионально» проведут бесплатную проверку. Мы посмотрим срок действия и корректность установки сертификата, найдём смешанное содержимое и проблемы с перенаправлениями и подскажем, как настроить продление, чтобы больше к этому не возвращаться.