Для чего нужен SSL-сертификат?

Замок в адресной строке выглядит маленьким, но за ним стоит механизм, определяющий, доверяют ли вашему сайту. SSL-сертификат (сегодня — TLS) шифрует трафик между браузером и сервером и доказывает, что адрес, к которому вы подключились, действительно тот самый. В этой статье объясняется, что именно защищает сертификат, какие типы нужны в каких случаях и что делать после установки.

SSL даёт три вещи

• Конфиденциальность: данные форм, пароли, сессионные cookie и платёжные данные передаются в зашифрованном виде; перехватчик видит лишь бессмысленный поток.
• Целостность: если данные изменены в пути, соединение разрывается. Никто не сможет внедрить рекламу или вредоносный код в страницу, идущую к вашему посетителю.
• Подлинность: сертификат выдаётся удостоверяющим центром после проверки владения доменом. Браузер предупредит, если его перенаправили на поддельный сервер.

Почему HTTPS больше не опция

Браузеры помечают сайты без сертификата как «Не защищено» — предупреждение, которое особенно отпугивает тех, кто собирался заполнить форму. Поисковые системы используют зашифрованное соединение как сигнал ранжирования. Быстрые протоколы HTTP/2 и HTTP/3 работают в браузерах только поверх HTTPS, так что шифрование означает и скорость. Для сайта, принимающего платежи, ведущего учётные записи или собирающего персональные данные, SSL — не предпочтение, а обязанность.

Типы сертификатов

Стойкость шифрования от типа не зависит; DV- и EV-сертификаты защищают одними и теми же алгоритмами. Разница — в том, сколько сведений о владельце видят браузер и посетитель.

Достаточно ли бесплатного сертификата?

Для большинства сайтов — да. Удостоверяющие центры вроде Let's Encrypt™ выдают DV-сертификаты бесплатно и автоматически. На тарифах хостинга Türkbil сертификат устанавливается сам, как только домен привязан к аккаунту, и продлевается до истечения срока; вам ничего делать не нужно. Организации, которым нужно название компании в сертификате или чей платёжный провайдер требует OV/EV, переходят на платный сертификат.

Чек-лист перехода на HTTPS

1. Перенаправьте весь трафик на HTTPS. Каждый запрос по http:// должен возвращать 301 на зашифрованный адрес; сайт не должен оставаться доступным по обоим протоколам.
2. Уберите смешанное содержимое. Если изображение, скрипт или стили всё ещё грузятся по http://, браузер не покажет замок.
3. Обновите канонический адрес. Сообщите HTTPS-адрес поисковым системам, карте сайта и тегам для соцсетей.
4. Включите заголовок HSTS. Он говорит браузеру «никогда больше не подключайся к этому сайту по HTTP» и защищает запросы после первого визита.
5. Следите за продлением. Даже при автопродлении истёкший сертификат — одна из самых частых причин простоя; внесите дату окончания в календарь.

Часто задаваемые вопросы

Замедляет ли SSL сайт?

Нет. На современных процессорах затраты на шифрование неизмеримо малы, а благодаря HTTP/2 и HTTP/3 поверх HTTPS сайт обычно открывается даже быстрее.

Использует ли SSL электронная почта?

Да. Соединения IMAP, POP3 и SMTP тоже шифруются сертификатом; держите опцию «SSL/TLS» в почтовом клиенте включённой.

Что будет, если срок сертификата истечёт?

Браузер покажет полноэкранное предупреждение безопасности, и большинство посетителей уйдёт. Поэтому автопродление и контроль срока важны не меньше самого сертификата.

Итог: SSL — не «дополнительная функция», а базовый слой сайта. Поскольку его можно установить бесплатно и автоматически, причин публиковать сайт без сертификата сегодня не осталось.