SSL-сертифікат: що це і чому браузер пише «не захищено»

Ви відкриваєте свій сайт, а браузер пише «Не захищено» або взагалі показує червоне попередження замість сторінки. Відвідувачі в такій ситуації зазвичай просто закривають вкладку. Найчастіше причина — проблема з SSL-сертифікатом. Розберемо, що це таке і чому виникають помилки.

Що таке SSL-сертифікат

SSL-сертифікат — це електронний документ, який підтверджує, що сайт справді належить цьому домену, і дозволяє шифрувати дані між браузером відвідувача та сервером. Саме завдяки йому адреса сайту починається з https://, а не з http://.

Без шифрування дані передаються відкритим текстом. Паролі, телефони, адреси доставки, які вводить користувач, теоретично можуть перехопити, наприклад у публічній Wi-Fi мережі. З сертифікатом ці дані зашифровані.

Сьогодні правильне правило одне: будь-який сайт має працювати через HTTPS. Не лише інтернет-магазин із оплатою, а й сайт-візитка з формою зворотного зв'язку.

Безкоштовний чи платний

Найпоширеніший безкоштовний варіант — сертифікати Let's Encrypt. Більшість хостингів і панелей керування сервером видають їх в один клік і продовжують автоматично. Для звичайного сайту чи інтернет-магазину цього достатньо: шифрування таке саме, як у платних.

Платні сертифікати мають сенс, коли потрібна додаткова перевірка організації, сертифікат для багатьох піддоменів із певними умовами або фінансова гарантія від видавця. Для більшості малого бізнесу це не обов'язково.

Чому браузер пише «не захищено»

• Сертифіката немає. Сайт працює лише через http://. Рішення — випустити сертифікат і налаштувати переадресацію з http на https.
• Сертифікат закінчився. Безкоштовні сертифікати діють 90 днів і повинні продовжуватися автоматично. Якщо автопродовження зламалося, через три місяці сайт «раптово» стає недоступним.
• Сертифікат не для того домену. Наприклад, він випущений для example.com, а сайт відкривають за адресою www.example.com. Сертифікат має покривати всі адреси, за якими доступний сайт.
• Змішаний вміст. Сторінка завантажується через https, але частина картинок, скриптів чи шрифтів підключена за старими адресами http://. Браузер вважає таку сторінку не повністю захищеною. Це часто трапляється після переходу на HTTPS: адреси в базі даних і шаблонах залишилися старими.
• Неповний ланцюжок сертифікатів. На сервері встановлений сам сертифікат, але не встановлені проміжні. На одному комп'ютері сайт відкривається, на іншому — показує помилку.

Що зробити після встановлення сертифіката

• Налаштувати постійну переадресацію (301) з http на https і з одного варіанту домену на основний, щоб у пошукових системах не було дублів сайту.
• Замінити внутрішні посилання й адреси файлів на https, щоб не було змішаного вмісту.
• Оновити адресу сайту в Google Search Console, системах аналітики, рекламних кабінетах і зовнішніх сервісах, куди сайт передає дані.
• Перевірити, що форми, оплата й інтеграції працюють після переходу: деякі сервіси надсилають повідомлення на старі адреси.

Як не допустити раптової помилки

Найнеприємніша ситуація — сертифікат закінчився у вихідні, а помітили це лише в понеділок за скаргами клієнтів. Щоб цього уникнути, варто перевірити, що автопродовження справді працює, і налаштувати моніторинг: багато безкоштовних сервісів перевірки доступності сайту попереджають про закінчення сертифіката за кілька тижнів.

Перевірку сертифіката варто включити в регулярне обслуговування сайту разом з оновленнями, резервними копіями й контролем помилок.