HTTPS — зачем сайту защищённое соединение

HTTPS — тот же HTTP, но с шифрованием. Данные между браузером и сервером идут в закрытом виде: их нельзя прочитать или подменить по пути. Для работы нужен SSL-сертификат — файл, подтверждающий, что домен принадлежит вам.

Почему без него нельзя

Браузер пугает посетителя. Chrome и Яндекс Браузер помечают сайты без HTTPS как «Не защищено» прямо в адресной строке, а рядом с любым полем ввода показывают предупреждение. Форма заявки на таком сайте собирает заметно меньше обращений.

Это фактор ранжирования. Не решающий, но при прочих равных защищённый сайт выигрывает.

Данные видны посторонним. Пароли, телефоны, содержимое заявок передаются открытым текстом и доступны всем на пути: владельцу Wi-Fi в кафе, провайдеру, любому, кто встроился в канал. Для сайта, собирающего персональные данные, это ещё и вопрос соответствия закону.

Часть возможностей просто не работает. Геолокация, push-уведомления, камера, Service Worker и вообще всё современное браузер разрешает только на HTTPS.

Сколько это стоит

Ничего. Let's Encrypt выдаёт бесплатные сертификаты, которые принимаются всеми браузерами. Почти любой хостинг умеет выпускать и продлевать их в один клик — ищите в панели раздел «SSL». Платные сертификаты отличаются страховкой и проверкой организации, для обычного сайта разницы в защите нет.

Ключевое требование — автопродление. Сертификат Let's Encrypt живёт 90 дней; если не продлить, сайт в один день перестанет открываться у всех посетителей (подробнее о сроке).

Как перевести сайт на HTTPS

1. Выпустите сертификат в панели хостинга.
2. Настройте 301-редирект со всех http://-адресов на https://. Без него у сайта окажутся две версии, и поисковик будет считать их разными сайтами.
3. Замените в коде и базе абсолютные адреса http:// на https:// — иначе появится смешанный контент, и браузер начнёт ругаться на «частично защищённое» соединение.
4. Обновите адрес сайта в панели CMS, в счётчиках аналитики, в рекламных кабинетах и на визитках сервисов.
5. Добавьте флаг Secure сессионным cookie — по HTTP они уходили открытым текстом (флаги cookie).
6. Укажите главное зеркало в Яндекс Вебмастере и добавьте HTTPS-версию в Google Search Console как отдельный ресурс.
7. Поправьте адрес карты сайта в robots.txt и rel=canonical на страницах.
8. Когда всё заработает — включите HSTS, чтобы браузер вообще не пробовал ходить по HTTP.

Переезд на HTTPS — это смена адресов всех страниц. Просадка позиций на одну-две недели нормальна, если редиректы настроены правильно; если нет — потери будут долгими.

Как проверить

• Пункты аудита «HTTPS / SSL» и «Редирект HTTP → HTTPS».
• Откройте сайт как http://ваш-сайт.ру — должно перекинуть на https://.
• Замочек в адресной строке: нажмите на него, браузер покажет, кем выдан сертификат и до какого числа действует.