История: истёк сертификат безопасности, и браузер неделю пугал клиентов красным экраном

Эта история вымышленная: компания, люди и детали придуманы, а все цифры условные. Но сама ситуация встречается гораздо чаще, чем кажется. У сайта истёк сертификат безопасности, и браузеры посетителей начали показывать вместо страниц красный экран с предупреждением «Подключение не защищено». Почти неделю компания не понимала, почему заявки с сайта практически прекратились, а когда поняла — ещё два дня искала, кто может это исправить. Разберём, что такое сертификат безопасности, почему он истекает, во что обошлась эта неделя и как настроить продление и мониторинг, чтобы подобное не повторилось. Говорить будем только о технической стороне.

Что такое сертификат безопасности простыми словами

Когда человек открывает сайт, его браузер и сервер обмениваются данными. Чтобы эти данные не могли прочитать или подменить посторонние, соединение шифруется. Сертификат безопасности — это электронный документ, установленный на сервере, который подтверждает, что сайт действительно принадлежит тому адресу, который набрал пользователь, и позволяет установить защищённое соединение. В адресной строке это видно по значку замка.

Сертификаты выдают удостоверяющие центры, и у каждого сертификата есть срок действия. Бесплатные сертификаты, которыми пользуется большинство небольших сайтов, выдаются на короткий срок — обычно около трёх месяцев. Платные действуют дольше, но тоже не бессрочно. Отрасль постепенно движется к ещё более коротким срокам, поэтому ручное продление становится всё менее надёжным.

Когда срок действия заканчивается, браузер перестаёт доверять сайту. Вместо страницы посетитель видит полноэкранное предупреждение о том, что соединение не защищено и злоумышленники могут попытаться украсть его данные. Продолжить можно, но для этого нужно нажать «Дополнительно» и «Перейти на сайт», причём браузер явно не советует этого делать. Абсолютное большинство людей закрывает вкладку.

Кто герои истории

Компания занимается изготовлением и установкой мебели на заказ: кухни, шкафы-купе, гардеробные. Небольшое производство, шоурум, несколько замерщиков и дизайнеров. Сайт с портфолио, калькулятором стоимости кухни и формой записи на бесплатный замер — главный инструмент продаж наряду с карточками на картах.

Сайт делал знакомый разработчик несколько лет назад. Он же настроил хостинг и установил бесплатный сертификат. Продление было автоматическим — через панель хостинга. Потом компания решила сменить хостинг на более быстрый, и переносом сайта занимался уже другой специалист. Сайт переехал, всё открывалось, и о сертификате никто не думал.

На новом сервере сертификат был перенесён вручную как файл, но автоматическое продление не настроили. Сертификат продолжал действовать до окончания своего срока — примерно два с половиной месяца после переезда. А потом истёк.

Хронология: неделя красного экрана

Сертификат истёк в ночь со вторника на среду. В среду утром посетители начали видеть предупреждение браузера. Кто-то закрывал вкладку, кто-то пытался зайти ещё раз, кто-то искал компанию на картах.

В самой компании этого не заметили. Сотрудники открывали сайт редко, а когда открывали — на офисных компьютерах, где браузер запомнил сайт или где его просто не открывали в эти дни. Менеджер отметила, что заявок с сайта за среду и четверг не было, но решила, что это случайность: бывают тихие дни.

В пятницу специалист по рекламе в Яндекс Директе заметил, что клики есть, а целевых действий почти ноль, и что показатель отказов подскочил. Он написал владельцу, что «с сайтом что-то не так». Владелец открыл сайт с телефона, увидел красный экран, решил, что сайт взломали, и запаниковал.

Выходные ушли на поиски того, кто может разобраться. Первый разработчик был недоступен, второй, который переносил сайт, ответил только в понедельник и сказал, что сертификатами не занимается. Хостинг-провайдер в поддержке объяснил, что сертификат истёк, и предложил инструкцию по выпуску нового. Владелец сам не решился в это лезть.

Только во вторник нашли специалиста, который за полчаса выпустил новый сертификат, настроил автоматическое продление и проверил, что сайт открывается без предупреждений. Итого: почти семь дней сайт был фактически недоступен для большинства посетителей.

Во что это обошлось

Посчитаем условно, чтобы понять масштаб.

До инцидента сайт приносил около двадцати пяти заявок на замер в неделю. Из них примерно треть превращалась в заказы. Средний чек заказа — условно двести тысяч рублей. За неделю с истёкшим сертификатом пришло три заявки — от самых настойчивых посетителей, которые прошли через предупреждение. Потеряно около двадцати заявок, то есть шесть-семь потенциальных заказов. Даже если часть этих людей нашла компанию позже через карты или вернулась, прямые потери исчисляются сотнями тысяч рублей выручки.

Реклама в Яндекс Директе продолжала работать всю неделю. Условно на неё ушло около сорока тысяч рублей, большая часть — на людей, которые увидели красный экран и ушли. Отключить рекламу догадались только в пятницу.

Была и потеря доверия. Несколько человек, которые позже всё-таки обратились, рассказали, что сначала подумали, будто сайт заражён или компания мошенническая. Для бизнеса, где клиент отдаёт серьёзные деньги за заказ и пускает замерщика в дом, доверие особенно важно.

Отдельно стоит упомянуть вспомогательные эффекты. Поисковые роботы тоже получают ошибку при обращении к сайту с недействительным сертификатом. Неделя — не катастрофа, но если бы проблема длилась дольше, поток заявок из поиска мог бы снизиться и после исправления, пока роботы заново не обойдут страницы.

Почему это случилось

Причины типичны и складываются в цепочку.

Первая — переезд сайта без полного списка того, что нужно перенести. Файлы и базу данных перенесли, домен переключили, а про механизм продления сертификата никто не вспомнил. На старом хостинге продление работало через панель управления, на новом его нужно было настроить заново.

Вторая — отсутствие мониторинга. Никакая система не следила за сроком действия сертификата и не предупреждала, что он скоро закончится. Удостоверяющие центры иногда присылают напоминания, но они приходили на почту первого разработчика, который давно не работал с компанией.

Третья — не было ответственного за техническое состояние сайта. Каждый специалист делал свою часть работы, но никто не отвечал за то, чтобы сайт в целом был доступен.

Четвёртая — компания не отслеживала заявки ежедневно по источникам. Если бы в Яндекс.Метрике была настроена составная цель на все обращения и кто-то смотрел на неё каждое утро, провал был бы виден уже в среду.

Как настроить автоматическое продление

Сейчас бесплатные сертификаты практически везде выпускаются и продлеваются автоматически. Для этого на сервере работает специальная программа, которая за несколько недель до окончания срока сама запрашивает новый сертификат у удостоверяющего центра и устанавливает его. Человеку ничего делать не нужно — если продление настроено.

Если сайт размещён на виртуальном хостинге, продление обычно включается в панели управления: в разделе сертификатов выбирается домен, выпускается бесплатный сертификат и ставится отметка автоматического продления. Важно убедиться, что сертификат выпущен именно для всех нужных адресов — и для основного домена, и для варианта адреса со стандартной приставкой из трёх букв перед именем домена, если сайт открывается по обоим адресам. Иначе один из адресов останется без защиты.

Если сайт работает на собственном сервере, программа продления устанавливается и настраивается администратором. Она запускается по расписанию, проверяет сроки и продлевает сертификаты. После продления веб-сервер должен перечитать новые файлы — это тоже часть настройки, которую часто забывают, и тогда новый сертификат лежит на диске, а сервер продолжает показывать старый.

Для платных сертификатов, которые выдаются на год, автоматическое продление зависит от поставщика. Часто нужно заранее оплатить продление, подтвердить владение доменом и установить новый файл. Здесь особенно важны напоминания и понятный ответственный.

Система управления сайтом на это почти не влияет: будь то ХостСМС, 1С-Битрикс или ВордПресс, сертификат устанавливается на уровне сервера. Но после установки стоит проверить, что в настройках сайта указан адрес с защищённым соединением, а все картинки, скрипты и формы загружаются по защищённому протоколу. Иначе браузер будет показывать предупреждение о смешанном содержимом, а некоторые формы могут не отправляться. В ХостСМС адрес сайта и перенаправление на защищённую версию задаются в настройках сайта в административной части, и это стоит проверить после каждого переезда.

Как настроить мониторинг

Автоматическое продление — это первая линия защиты, мониторинг — вторая. Продление может сломаться: сменили настройки сервера, изменились записи домена, закончилась оплата хостинга. Поэтому нужна независимая проверка.

Самый простой вариант — сервис мониторинга, который регулярно открывает сайт и проверяет срок действия сертификата. Такие сервисы есть и среди бесплатных, и среди недорогих платных. Настройте уведомление за две-три недели до окончания срока, а также немедленное оповещение, если сайт начал отдавать ошибку. Уведомления лучше направлять не на одну почту, а в Телеграм или несколько адресов, чтобы о проблеме узнал хотя бы один живой человек.

Полезно подключить и проверку доступности в Яндекс.Метрике: она оповестит, если сайт перестал отвечать. А в Яндекс.Вебмастере стоит регулярно смотреть раздел с проблемами сайта — там отображаются ошибки, которые видит поисковый робот.

И наконец, самый человеческий мониторинг — ежедневный взгляд на заявки. Если в Метрике настроена составная цель, объединяющая формы, клики по телефону и мессенджеры, резкое падение до нуля будет заметно уже на следующий день.

Как это связано с продвижением 3 в 1

В подходе «3 в 1» мы рассматриваем три точки, откуда приходят обращения: поиск, включая обычную выдачу и ответы нейропоиска, карточку компании в Яндекс Бизнесе и карточку в 2ГИС. Эта история хорошо показывает, как они страхуют друг друга.

Когда сайт оказался за красным экраном, пострадали все, кто пытался на него попасть: из поиска, из рекламы, по ссылке из карточек. Нейропоиск тоже опирается на доступное содержимое сайта: если страницы не открываются, их нельзя использовать как источник для ответа. А вот звонки прямо с карточек в Яндекс Бизнесе и 2ГИС продолжали поступать. По статистике карточек, в ту неделю звонков с карт было даже немного больше обычного: часть людей, не сумевших открыть сайт, находила компанию на карте и звонила напрямую. Это обращения, которые иначе были бы потеряны.

Вывод простой: карточки на картах должны быть полностью заполнены и с актуальными контактами — не как дополнение к сайту, а как самостоятельный канал заявок. И учитывать обращения с карт нужно наравне с заявками с сайта: отдельные номера через коллтрекинг вроде Коллтача или Каллибри, метки на ссылках из карточек, ежемесячная сводная таблица. Тогда провал одного канала сразу виден на фоне остальных.

Есть и обратная связь. Ссылка на сайт стоит в каждой карточке, и человек, перешедший с карты на сайт и увидевший предупреждение, может усомниться в компании в целом. Поэтому исправность сайта влияет и на результат карточек.

Выводы из истории

Первый вывод: сертификат безопасности — не разовая настройка, а механизм, который должен работать постоянно. Автоматическое продление обязательно, и после любого переезда или смены сервера его нужно проверять заново.

Второй вывод: без мониторинга любой сбой обнаруживается слишком поздно. Предупреждение за несколько недель до окончания срока стоит копейки, а неделя простоя — сотни тысяч рублей.

Третий вывод: у сайта должен быть ответственный за техническое состояние, у которого есть доступы к хостингу, домену и сертификатам и который отвечает, когда что-то ломается.

Четвёртый вывод: ежедневный взгляд на заявки — лучшая сигнализация. Резкое падение обращений с сайта при сохранении звонков с карт почти всегда означает техническую проблему на сайте.

Чек-лист профилактики

Проверьте, когда истекает сертификат вашего сайта: нажмите на значок замка в адресной строке и посмотрите сведения о сертификате. Убедитесь, что автоматическое продление включено в панели хостинга или настроено на сервере, и что после продления сервер подхватывает новый сертификат. Проверьте, что сертификат покрывает все адреса сайта, включая вариант адреса со стандартной приставкой перед именем домена. Настройте внешний мониторинг срока действия сертификата с уведомлением за две-три недели, причём уведомления должны приходить нескольким людям, в том числе в мессенджер. Включите проверку доступности в Яндекс.Метрике и регулярно заглядывайте в Яндекс.Вебмастер. Назначьте ответственного за техническое состояние сайта и храните доступы к хостингу, домену и сертификатам у компании. При переезде сайта используйте список проверок, где отдельным пунктом стоит сертификат и его продление. Настройте в Метрике составную цель на все обращения и смотрите её ежедневно. Держите карточки в Яндекс Бизнесе и 2ГИС в полном порядке, чтобы клиенты могли связаться с вами даже при проблемах с сайтом.

Вывод

Истёкший сертификат безопасности — одна из самых обидных причин потерять заявки. Сайт работает, реклама идёт, товар и цены в порядке, а клиенты видят красный экран и уходят. Причина почти всегда одна и та же: продление когда-то было настроено, потом что-то поменялось, а мониторинга не было. Исправляется всё за полчаса, а предотвращается ещё проще — автоматическим продлением, внешним мониторингом, ответственным человеком и ежедневным взглядом на заявки. А карточки в Яндекс Бизнесе и 2ГИС, работающие вместе с поиском по подходу «3 в 1», помогают сохранить часть обращений даже тогда, когда с сайтом что-то случилось.

Если вы не знаете, когда истекает сертификат на вашем сайте и настроено ли его продление, обратитесь к специалистам «Сайты Профессионально» за бесплатной консультацией. Мы проверим сертификат, продление и мониторинг, посмотрим, не теряются ли заявки из-за технических проблем, и поможем выстроить систему, в которой сайт, поиск и карточки на картах работают без сбоев.