SSL-сертификат для сайта: бесплатный или платный и как установить

Сертификат SSL нужен сайту, чтобы данные между браузером и сервером шли в зашифрованном виде. Без него браузер помечает страницу как небезопасную, формы заявок и оплаты вызывают недоверие, поиск выбирает для показа HTTPS-версию страницы. Хорошая новость: для большинства сайтов сертификат бесплатный и выпускается автоматически. Ниже разбор, когда этого достаточно, когда стоит купить платный и как пройти переход на HTTPS без сюрпризов. MMIX делает такие переводы для сайтов клиентов с 2012 года.

Раскрытие: часть ссылок в статье партнёрские. Если вы покупаете по ним, MMIX может получить комиссию; цена для вас та же.

Бесплатный или платный: в чём разница

Шифрование у бесплатного и платного сертификата одинаково надёжное. Разница в том, что именно проверяет центр сертификации и какие условия он даёт.

• DV (Domain Validation) подтверждает только право управлять доменом. Так работает Let's Encrypt, некоммерческий автоматический центр сертификации. Его сертификат действует 90 дней и выпускается заново до окончания срока.
• OV (Organization Validation) дополнительно подтверждает, что домен принадлежит конкретной организации. Данные компании видны в сведениях о сертификате.
• EV (Extended Validation) включает расширенную проверку компании. Как он отображается в адресной строке, зависит от браузера.

У Let's Encrypt нет денежных компенсаций на случай компрометации сертификата. Коммерческие центры сертификации такие гарантии предлагают. Ещё одна деталь: Let's Encrypt на виртуальном хостинге работает через технологию SNI, которая позволяет держать много сертификатов на одном IP-адресе. Некоторые платёжные системы SNI могут не поддерживать, и это стоит уточнить у своего платёжного провайдера заранее.

Пошаговая инструкция

Что проверить и частые ошибки

• Сертификат покрывает только один вариант домена. Сайт открывается без www, по адресу с www браузер показывает ошибку. Включайте в сертификат оба адреса.
• Цепочка установлена не полностью. На компьютере всё открывается, на части телефонов появляется предупреждение. Установите промежуточные сертификаты вместе с основным.
• Ключ не подходит к сертификату. Приватный ключ создают вместе с запросом CSR. Если ключ потерян или перепутан, сертификат придётся перевыпускать.
• Цепочка из нескольких редиректов. http → https → www → без www замедляет загрузку и путает поисковые системы. Настройте один переход на конечный адрес.
• Смешанный контент в старых записях. Шаблон исправили, в тексте статей остались картинки по http://. Пройдитесь поиском по базе данных.
• Автопродление молча сломалось. После смены DNS или переноса на другой сервер проверка домена перестаёт проходить, и через 90 дней сертификат истекает. Следите за датой окончания.
• HSTS с большим сроком на старте. Если какой-то поддомен ещё без сертификата, посетители не смогут его открыть до окончания срока заголовка.

Как проверить сертификат после установки

Пять минут проверки после выпуска сертификата избавляют от жалоб клиентов через неделю.

1. Откройте сайт в режиме инкогнито по четырём адресам: с http:// и https://, с www и без www. Все четыре должны прийти на один основной адрес по HTTPS.
2. Нажмите на значок замка и посмотрите, на какие имена выпущен сертификат и до какой даты он действует.
3. Проверьте сайт с телефона через мобильный интернет. Так видно ошибки цепочки, которые на рабочем компьютере скрывает кэш браузера.
4. Отправьте тестовую заявку через форму и убедитесь, что письмо пришло. Если на сайте есть оплата, проведите тестовый платёж в режиме песочницы платёжного сервиса.
5. Запустите внешний тест и сохраните отчёт: при следующей проверке будет с чем сравнить.

Если сайт работает через CDN или защитный прокси, сертификат нужен на двух участках: между посетителем и прокси и между прокси и вашим сервером. Режим, при котором второй участок идёт без шифрования, оставляет данные открытыми на пути к серверу, поэтому включайте полную проверку сертификата и на сервере.

Частые вопросы