SSL-сертификат для сайта: зачем и как получить бесплатно
Откройте свой сайт и посмотрите на адресную строку. Если перед адресом нет замочка, а вместо https стоит http - браузер уже шепнул посетителю «не защищено». Часть людей развернётся на этом месте, а поиск задвинет сайт ниже конкурентов.
Хорошая новость: чинится это бесплатно и обычно за вечер. Разберём, что такое SSL-сертификат, зачем он нужен, как получить его бесплатно и в каких редких случаях имеет смысл платить.
HTTPSзамочек в адресной строке 0 ₽сертификат Let's Encrypt 90 днейсрок, продлевается автоматическиЧто такое SSL-сертификат простыми словами#
SSL-сертификат - это цифровой документ, который шифрует связь между сайтом и браузером посетителя. Пока данные идут от человека к серверу, их нельзя прочитать по дороге.
Когда сертификат установлен, сайт открывается по протоколу https (буква s в конце - от secure, «защищённый»), а браузер показывает замочек. Без сертификата сайт работает по http, и всё, что вводит посетитель, передаётся открытым текстом.
Аналогия простая. http - это открытка: текст видит любой, через чьи руки она прошла. https - запечатанный конверт. Для страницы с формой заявки или оплаты разница принципиальная.
Зачем сайту нужен SSL и HTTPS#
Три причины, по которым сертификат сегодня не опция, а норма.
- Доверие посетителя. Браузеры Chrome, Яндекс и другие прямо помечают сайты без https как «Не защищено». Надпись пугает: человек видит её рядом с формой, где собирался оставить телефон, и закрывает вкладку.
- Позиции в поиске. Защищённое соединение - подтверждённый фактор ранжирования. При прочих равных поиск показывает выше сайт с https. Это один из сигналов, по которым сайт вообще находят в выдаче.
- Защита данных. Телефон, почта, пароль, данные карты - без шифрования их можно перехватить в открытой сети. Для любого сайта с формой это требование, а не желательная мелочь.
Вывод: если на сайте есть хоть одна форма или вы хотите расти в поиске, SSL обязателен. А есть он почти на всех сайтах, поэтому его отсутствие сразу выделяет вас не в ту сторону.
Как получить SSL-сертификат бесплатно#
Самый простой и честный путь для обычного сайта - Let's Encrypt. Это бесплатный сертификат от некоммерческого центра, которому доверяют все браузеры. Выпускается автоматически, действует 90 дней и продлевается сам, без вашего участия.
На практике получают его так:
- Через панель хостинга. FastPanel, cPanel, ISPmanager, панели Timeweb и большинства хостеров умеют ставить Let's Encrypt в один-два клика. Это путь по умолчанию: зашли в раздел SSL, выбрали домен, нажали «выпустить».
- Через конструктор. На Тильде, Reg.ru-сайтах и подобных платформах SSL обычно подключается сам или одной кнопкой в настройках домена.
- Вручную через certbot. Если у вас свой сервер, бесплатный сертификат выпускается утилитой certbot и настраивается на автопродление. Это вариант для тех, у кого есть доступ к серверу.
Платить за базовый SSL для сайта-визитки, лендинга или небольшого каталога не нужно. Let's Encrypt шифрует ровно так же, как платный.
Не уверены, всё ли в порядке с защитой: прогоните сайт через бесплатный аудит. Он проверит, открыт ли сайт по https, уводит ли http на https и включена ли строгая защита HSTS - вместе с тремя десятками других сигналов поиска и нейросетей.
Бесплатный или платный сертификат: что выбрать#
Главное, что стоит понять: уровень шифрования у бесплатного и платного одинаковый. Разница в типе проверки.
| Тип | Что подтверждает | Кому нужен |
|---|---|---|
| DV (Let's Encrypt) | владение доменом | сайтам-визиткам, лендингам, большинству бизнеса |
| OV / EV | владение доменом + организацию | банкам, крупным магазинам, где важна юр. проверка |
| Wildcard | домен и все его поддомены | сайтам с десятками поддоменов |
Для подавляющего большинства задач хватает бесплатного DV. Платный имеет смысл, когда вам важно показать в данных сертификата название юрлица или закрыть одним сертификатом много поддоменов. Если вы не уверены, нужен ли вам платный - почти наверняка нет.
Российские SSL-сертификаты: нужны ли#
Коротко и без паники. Большинству сайтов российский сертификат не нужен: Let's Encrypt признают все браузеры, включая Яндекс.
Отдельный национальный сертификат от Минцифры существует как бесплатная альтернатива на случай, если зарубежный центр перестанет обслуживать домен. Его понимают Яндекс Браузер и российские системы, в других браузерах он может потребовать ручной установки корневого сертификата. Для обычного бизнес-сайта это запасной аэродром, а не первый выбор. Госсектору и отдельным отраслям нужны ГОСТ-сертификаты - это уже специальная история.
После установки: редирект и строгая защита#
Поставить сертификат - половина дела. Дальше две важные настройки.
Переадресация http → https. После выпуска сертификата сайт открывается по обоим адресам сразу. Для поиска это две копии одного сайта, позиции распыляются. Нужно настроить постоянную переадресацию (301) со старого http на https, чтобы остался один защищённый адрес.
Строгая защита HSTS. Это заголовок, который заставляет браузер всегда открывать сайт только по https, даже если кто-то введёт http вручную. Закрывает короткое окно, в которое соединение можно перехватить. Включают его, когда сайт стабильно работает по https.
Оба пункта проверяет наш бесплатный аудит: отдельно показывает, есть ли защищённое соединение, уводит ли http на https и включён ли HSTS.
Частые ошибки#
Смешанное содержимое. Страница открывается по https, но грузит картинки или скрипты по старому http. Браузер из-за этого убирает замочек. Лечится правкой внутренних ссылок на https.
Забыли редирект. Сертификат есть, но http и https работают параллельно. Две копии сайта - минус к позициям.
Сертификат истёк. Если автопродление не настроено, через 90 дней сайт встретит посетителей красным экраном «подключение не защищено». У Let's Encrypt продление автоматическое, но проверить, что оно работает, стоит.
Что дальше#
SSL - это технический фундамент, но один замочек сайт не продаёт. Если хотите понять, что ещё мешает сайту приносить заявки, прогоните его через бесплатный аудит на 30 показателей: защита, скорость, индексация, структура, готовность к нейросетям.
Не хотите разбираться с сертификатами, редиректами и хостингом сами - мы делаем сайты под ключ: https, скорость и техническая база настроены сразу, без ваших забот. А если сайт уже есть и нужен разбор всех проблем с планом - это полный аудит сайта.
Частые вопросы про SSL-сертификат
01Что такое SSL-сертификат простыми словами?
Цифровой документ, который шифрует связь сайта с посетителем. Благодаря ему адрес открывается по https, появляется замочек. Без сертификата данные из форм идут открытым текстом, а браузер помечает сайт небезопасным.02Зачем сайту SSL-сертификат?
Браузеры помечают сайты без https как «не защищено» и отпугивают людей. Поиск понижает незащищённые сайты. И данные форм без шифрования можно перехватить. Для сайта с любой формой SSL обязателен.03Как получить SSL-сертификат бесплатно?
Самый простой путь — Let's Encrypt: бесплатный сертификат, выпускается автоматически и продлевается сам. Почти все хостинги и панели ставят его в один клик. Платить за базовый SSL не нужно.04Чем бесплатный SSL отличается от платного?
Шифрование одинаковое. Бесплатный Let's Encrypt подтверждает только владение доменом (DV) - этого хватает большинству. Платный нужен для подтверждения организации (OV/EV) или одного сертификата на много поддоменов (wildcard).05Что делать с российскими SSL-сертификатами?
Большинству хватает Let's Encrypt - ему доверяют все браузеры. Если зарубежный центр перестал обслуживать домен, есть бесплатный национальный сертификат Минцифры. Для обычного сайта это запасной вариант.06Сайт на https, но замочка нет - почему?
Чаще всего смешанное содержимое: страница по https грузит картинки или скрипты по http. Нужно поправить внутренние ссылки на https и настроить переадресацию с http на https.
