Браузер сам подсказывает посетителю, что сайту не стоит доверять: вместо замочка — надпись «Не защищено». Заявки с такой страницы приходят реже, а платёжный шлюз к ней просто не подключится. Выпуск сертификата занимает 2–5 минут. Остальное время уходит на редиректы и картинки, которые остались на http.

Что HTTPS даёт на практике

• Шифрование. Логины, пароли, содержимое форм и платёжные данные не читаются по пути от браузера до сервера.
• Доверие. Нет предупреждения — нет причины закрыть вкладку на середине оформления заказа.
• Скорость. HTTP/2 и HTTP/3 в браузерах работают только поверх TLS. Без сертификата сайт остаётся на HTTP/1.1 и теряет в TTFB.
• Поиск. Для Google HTTPS — фактор ранжирования с 2014 года. Яндекс индексирует https-версию как основную.

Для лендинга, блога и корпоративного сайта HTTPS — базовая настройка, а не опция.

Какой сертификат брать

Let's Encrypt и другие бесплатные DV

Подходит 99% сайтов. DV (Domain Validation) подтверждает только владение доменом — этого хватает и магазину, и блогу. Браузер не отличает бесплатный DV от платного: замочек одинаковый.

• Срок жизни — 90 дней.
• Продление автоматическое, руками ничего делать не нужно.
• Выпуск через ACME-клиент (Certbot, acme.sh) или одним тумблером в панели хостинга.

Платные DV, OV, EV

• Платный DV. То же шифрование, плюс техподдержка и финансовые гарантии удостоверяющего центра.
• OV и EV. Проверяют юрлицо по документам. Нужны, когда этого требует служба безопасности партнёра, банк или внутренний аудит. Для розницы и малого бизнеса — лишние деньги.

Способ 1: панель хостинга, 2–5 минут

SSL на REG.RU

1. Панель → Хостинг → нужный домен.
2. Раздел SSL → «Подключить Let's Encrypt» (либо выбрать платный DV/OV/EV).
3. Отметьте поддомены: www и всё, что реально используется.
4. Нажмите Установить. Через 1–3 минуты сертификат прикрепится.
5. Включите автопродление и принудительный HTTPS.

SSL на Timeweb

1. Панель → Сайты и домены → домен.
2. В блоке SSL включите Let's Encrypt.
3. Поставьте галочку автоматического продления.
4. В настройках сайта включите принудительный HTTPS.
5. Проверьте поддомены (www, m, shop). Если их нет в сертификате — выпустите отдельный или SAN.

Частая причина отказа на этом шаге — DNS. A/AAAA-записи должны указывать на текущий сервер, старые «висящие» значения надо удалить. Быстрая проверка: dig example.com +short или любой онлайн-чекер DNS.

На shared-тарифе всё правда делается в два клика. На VPS и в облаке панели может не быть — там либо Hestia/ISPmanager/aaPanel, либо консоль. Чем отличаются уровни контроля и что выбрать под свою задачу, разобрано в статье как выбрать хостинг: shared, VPS или облако.

Способ 2: Certbot на VPS

Проверьте до запуска

• Домен ведёт на IP этого сервера. TTL лучше снизить заранее, за сутки.
• Порты 80 и 443 открыты в файрволе сервера и у провайдера.
• Есть доступ sudo или root.

Установка и выпуск

# Ubuntu / Debian
sudo apt update
sudo apt install certbot python3-certbot-nginx -y
# для Apache: sudo apt install certbot python3-certbot-apache -y

# выпуск и автонастройка Nginx
sudo certbot --nginx -d example.com -d www.example.com

# для Apache
# sudo certbot --apache -d example.com -d www.example.com

Certbot找 сам находит нужный server-блок, прописывает пути к сертификату и предлагает включить редирект на HTTPS. Соглашайтесь — одной задачей меньше.

Автопродление

sudo systemctl status certbot.timer   # таймер должен быть active
sudo certbot renew --dry-run          # сухой прогон продления

Если dry-run прошёл без ошибок, сертификат будет обновляться сам. Если таймер неактивен — включите: sudo systemctl enable --now certbot.timer.

Редирект 301: как не поймать петлю

Nginx

server {
  listen 80;
  listen [::]:80;
  server_name example.com www.example.com;
  return 301 https://example.com$request_uri;
}

Apache, файл .htaccess

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Правило одно: у сайта должна быть одна каноническая версия. Если редирект http→https описан в конфиге сервера, а www→без www ещё и в CMS или плагине, браузер получает бесконечный цикл и ошибку ERR_TOO_MANY_REDIRECTS. Держите всю логику в одном месте.

HSTS — только после недели без ошибок

Заголовок заставляет браузер ходить на сайт исключительно по HTTPS:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

Начинайте с max-age=86400 (сутки). Убедились, что все поддомены отдают валидный сертификат — поднимайте до года. Если включить сразу год и на каком-то поддомене сертификата нет, посетители не смогут открыть его до истечения max-age.

Смешанный контент: почему замочек серый

Симптом: замочек серый или перечёркнутый, в консоли браузера — предупреждения Mixed Content. Значит, страница загружается по HTTPS, а часть ресурсов тянется по http.

Что делать:

• Заменить http:// на https:// в шаблонах, настройках CMS и базовом URL.
• Проверить пути к картинкам, шрифтам, скриптам и CSS.
• В WordPress: обновить Site Address, прогнать базу через Search & Replace.
• Проверить внешние виджеты и аналитику — почти у всех есть https-версии, но старые счётчики бывают вбиты жёстко.
• Прогнать страницу через Lighthouse или PageSpeed и найти остатки.

Чек-лист после переключения

• Сертификат валиден, цепочка доверия полная (проверить SSL-чекером).
• Все варианты адреса ведут на одну https-версию: с www, без www, со слэшем и без.
• Смешанного контента нет.
• sitemap.xml содержит только https-адреса.
• robots.txt открывается по HTTPS.
• Canonical-теги указывают на https.
• Домен подтверждён в Search Console и Яндекс.Вебмастере как https-версия.
• CDN или прокси работают по HTTPS, на edge валидный сертификат.
• Формы заявки и оплата проверены вручную, а не «на глаз».

Вариант через CDN: Cloudflare и аналоги

• Домен подключается к CDN, режим SSL — Full (Strict).
• Edge-сертификат бесплатный, на origin нужен валидный: Let's Encrypt подойдёт.
• Плюсы: кэш, WAF, HTTP/2 и HTTP/3, обновление сертификатов без вашего участия.
• Риск: режим Flexible шифрует только участок «браузер — CDN», а от CDN до сервера трафик идёт открытым. Для форм и оплат это неприемлемо.

Пять ошибок, которые ломают сайт после перехода

1. Петли редиректов. Логика раскидана по конфигу сервера, .htaccess и CMS одновременно.
2. Забытые вебхуки и API. У внешних интеграций в настройках зашит http://. Обновите URL и перевыпустите ключи.
3. Старые canonical и sitemap. Поисковик дольше переиндексирует сайт, позиции скачут.
4. Автопродление не включено. Через 90 дней сертификат истекает и сайт встречает посетителей красным экраном.
5. Поддомены без SAN. Сертификат выпущен на example.com, а www.example.com отдаёт ошибку.

Когда платный сертификат оправдан

• Требования корпоративной безопасности или внешнего аудита (OV/EV).
• Регламенты партнёра, банковские и платёжные интеграции.
• Нужны SLA и живая поддержка удостоверяющего центра.

Во всех остальных случаях DV закрывает задачу полностью.

Экспресс-план на 10 минут

1. Проверить A-записи домена.
2. Включить Let's Encrypt в панели хостинга или выпустить сертификат через Certbot.
3. Включить принудительный HTTPS и автопродление.
4. Настроить один 301-редирект на каноническую версию.
5. Убрать смешанный контент.
6. Обновить canonical, sitemap и данные в вебмастерах.
7. Отправить тестовую заявку и провести тестовую оплату.

Бонус: узнать о просроченном сертификате раньше клиентов

Сделайте служебный адрес вида /health, который отдаёт короткий ответ, и поставьте на него внешний мониторинг с проверкой срока сертификата. Письмо придёт за 14 дней до истечения, а не в момент, когда сайт уже недоступен. Бесплатных сервисов для этого хватает — часть есть в подборке 10 must-have сервисов новичка в IT.

Коротко о главном

SSL действительно ставится за десять минут, если в DNS порядок и хостинг нормальный. В большинстве случаев достаточно Let's Encrypt, одного 301-редиректа и включённого автопродления. HSTS добавляйте после недели наблюдений, смешанный контент чистите сразу, а срок сертификата отдайте мониторингу.