HTTPS и SSL-сертификат: что нужно знать владельцу сайта

Зачем сайту защищённое соединение

«Сертификат нужен только интернет-магазину, где платят картой?» Защищённое соединение нужно и сайту услуг: HTTPS шифрует передачу данных между браузером и сайтом, а сертификат помогает браузеру установить защищённое соединение с указанным адресом.

В этом разборе небольшой сайт представляет услуги компании и принимает обращения через форму. Домен сохраняется. Задача подрядчика — включить HTTPS, перенести переходы на защищённые адреса и обеспечить дальнейшее продление сертификата, чтобы владелец не возвращался к тому же вопросу после первого окончания срока. Для посетителя важен весь путь. Открытая страница с правильным адресом и неработающая отправка формы не образуют готовую услугу.

Что именно меняется

В справке Яндекса о переходе на HTTPS объясняется, что использование защищённого протокола снижает риск перехвата данных и подмены содержимого при передаче. Поэтому вопрос касается и формы с телефоном, и авторизации сотрудников. Сертификат не заменяет работу с доступом к заявкам, содержанием сайта и обновлением его программной части. Эти задачи относятся к другим участкам защиты и не исчезают после появления HTTPS.

Слово SSL осталось в названии услуги и в речи владельцев сайтов, хотя обсуждать с исполнителем полезнее защищённое соединение и действующие настройки TLS. Заказчику не требуется выбирать набор шифров по статье. Ему требуется знать, какие адреса покрыты, кто отвечает за продление и по каким признакам будет принят результат, поскольку покупка файла без установки и сопровождения не решает ни одного из этих вопросов. Для сайта услуг удобнее поддерживать единый HTTPS на всех публичных страницах вместо защиты одной страницы контактов. Человек переходит между описаниями и формой, поэтому единый защищённый путь проще поддерживать и объяснять. Разделение оставит дополнительные адреса и переходы, которые затем всё равно придётся разбирать.

Какой сертификат выбрать

Цена сертификата не описывает весь объём работы. В предложении подрядчика полезно отделить выпуск от установки, проверки адресов и дальнейшего сопровождения, чтобы бесплатный сертификат не превращался в неожиданную платную аварийную задачу.

Сертификат с проверкой домена называют DV. Например, Let’s Encrypt выпускает DV-сертификаты без платы за сам сертификат. Центр не выпускает варианты OV и EV с проверкой организации в соответствующем объёме. Хостинг или другой интегратор может брать плату за обслуживание, что прямо отмечено в FAQ центра. Поэтому строку стоимости сертификата сравнивают вместе с составом работ и ответственностью исполнителя.

Какие имена предстоит покрыть

Основной адрес, вариант с www и используемые поддомены перечисляют до выпуска. Иначе владелец может увидеть работающую главную страницу, а старое рекламное объявление приведёт человека на другой вариант адреса с предупреждением браузера, поэтому в задании перечисляют именно доступные точки входа, включая неглавные версии, с которых выполняется перенаправление. Подрядчик объясняет, какие имена включены и как обрабатываются остальные.

Для обычного сайта услуг разумнее взять достаточный набор имён, чем оплачивать сложную схему на случай любого будущего поддомена. Если действительно требуется wildcard-сертификат, охватывающий поддомены по шаблону, исполнитель отдельно объясняет его границы и способ автоматического продления. В документации Let’s Encrypt указано, что HTTP-01 для такого выпуска не подходит. Выбор делается по реальным адресам сайта и доступному обслуживанию. Бесплатный вариант подходит, когда хостинг или подрядчик умеет надёжно выпускать и продлевать его. Платный вариант имеет смысл оценивать по нужному виду проверки, поддержке и условиям поставщика. Обещание особого роста заявок от более дорогого сертификата не объясняет техническую потребность сайта.

Кто получит и продлит сертификат

Продление начинается с распределения доступа. Если весь выпуск держится на личной учётной записи бывшего исполнителя, смена подрядчика может внезапно превратить обычную задачу обслуживания в восстановление управления доменом.

Центру сертификации требуется подтвердить управление именем. В документации Let’s Encrypt описаны разные способы. Проверка HTTP-01 использует доступный файл на веб-сервере и порт 80. Проверка DNS-01 использует TXT-запись домена. Владельцу достаточно понимать различие доступов, чтобы не выдавать администратору сайта без необходимости полное управление всеми доменами компании и заранее выяснить, кто сможет повторить выпуск при смене сервера.

Автоматизация с ответственным

Настроенное автоматическое продление полезнее календарного напоминания владельцу, если уведомление о сбое получает человек, который может его устранить. Одно наличие автоматизации не отвечает на этот вопрос. В задании называют исполнителя и канал сообщения об ошибке, а в сдаче показывают, что будущий выпуск использует рабочие доступы и не требует ручного действия сотрудника, которого уже нет в компании.

Заказчику не нужно хранить закрытый ключ в общей папке документов. Права и резервирование организует ответственный технический специалист. Для руководителя остаётся запись о месте управления сертификатом, сроке действия и порядке передачи обслуживания. Секретные значения не попадают в переписку с широким кругом участников, а возможность сменить подрядчика сохраняется через принадлежащие компании учётные записи. Управляемое продление с понятным ответом на сбой надёжнее напоминания о скором окончании сертификата. На сайте услуг предупреждение браузера может остановить посещение ещё до чтения предложения. Поэтому обслуживание HTTPS включают в обычный перечень поддержки вместе с ответственным, а не оставляют разовой покупкой в старом счёте.

Как принять переход на HTTPS

Главную страницу недостаточно открыть один раз. Посетители приходят по рекламе и старым ссылкам сразу на внутренние разделы, поэтому приёмка охватывает разные точки входа и продолжение действия внутри сайта.

Яндекс советует обновить внутренние ссылки и доступность HTTPS-версии. В перечень входят ссылки на страницы и ресурсы, а также адреса в Sitemap. Для нашего сайта услуг практический смысл в том, чтобы браузер не загружал часть необходимого содержимого по старому незащищённому адресу. Подрядчик исследует предупреждения и ошибки загрузки. Маркетолог затем проходит обычный путь от услуги до отправки обращения в тестовом режиме, где сообщения не уходят реальным покупателям.

Задание, которое можно передать исполнителю

Ниже — образец формулировки для сайта с неизменным доменом. Он описывает результат и материалы сдачи, оставляя технические команды специалисту. Если одновременно меняются адреса разделов или движок, к работе добавляется отдельная карта переходов, иначе широкая задача переезда будет скрыта внутри короткой строки о сертификате.

Включить HTTPS для основного адреса [домен] и перечисленных входов [www, поддомены]. Настроить переход старых адресов на соответствующие защищённые страницы. Сохранить содержание и работу формы. Устранить загрузку необходимых ресурсов по HTTP. Передать перечень охваченных имён, место управления сертификатом, порядок продления и ответственного за сбой. На приёмке показать главную, внутреннюю услугу, прямой старый адрес и полный путь тестового обращения.

В Вебмастере доступна «Проверка ответа сервера» для оценки адреса, включая сообщение об ошибке сертификата. Это отдельное подтверждение, а не замена просмотру сайта в браузере. Результаты полезно сохранить вместе с перечнем адресов, чтобы при следующем изменении хостинга сравнить поведение тех же точек входа.

Как сообщить поиску об изменении

Для перехода без смены содержания Яндекс предлагает инструмент «Индексирование» → «Переезд сайта» с опцией «Добавить HTTPS». Порядок описан в той же инструкции по переезду, причём сначала готовят доступную защищённую версию и переходы, затем сообщают об изменении: заявка в сервисе не установит сертификат и не исправит ошибку формы.

Что получает владелец после настройки

Сдача HTTPS заканчивается передачей ответственности. Владелец получает перечень адресов, подтверждение работы и порядок продления, чтобы следующий сотрудник понимал, где управляют соединением и к кому обращаться при предупреждении браузера.

В рабочей записи полезно оставить дату окончания сертификата и контакт поддержки. Это помогает при аварии. Если браузер сообщает об ошибке, сотрудник передаёт точный адрес, снимок сообщения и время возникновения проблемы, а технический специалист выясняет причину по фактическому состоянию. Просить посетителей игнорировать предупреждение — плохой способ сохранить поток: компания тем самым приучает человека обходить сигнал, который предназначен защищать его соединение. Сначала устраняют конкретную причину предупреждения.

Сертификат, сайт и сопровождение

Готовность подтверждается сочетанием признаков: нужные адреса открываются, старые ссылки приводят к тем же страницам, ресурсы загружаются и форма работает. Автоматическое продление связано с ответственным исполнителем. Эти сведения можно обсудить со ШТАБ ИТ при постановке задачи по поддержке сайта, приложив список используемых адресов и сообщение браузера, если проблема уже возникла.

Для небольшого сайта услуг достаточно понятного решения, которое команда способна поддерживать. Выбор сертификата идёт от имён и обслуживания, а приёмка — от пути посетителя, поэтому HTTPS становится обычной работающей частью сайта с известным ответственным, а не непонятной строкой расходов, к которой возвращаются только после остановки обращений.