SSL-сертификат для сайта: какой нужен и где взять

SSL-сертификат для сайта нужен каждому: без него браузер показывает посетителям предупреждение о небезопасном соединении, а формы и оплата работают без шифрования. Большинству сайтов хватает бесплатного сертификата Let's Encrypt, который хостинг выпускает одной кнопкой в панели. Платный сертификат нужен, когда требуется проверка организации, договор с удостоверяющим центром или защита нескольких доменов под гарантией. Ниже: какие бывают сертификаты, как получить бесплатный, сколько стоит платный и что делать, если браузер всё равно ругается.

Коротко о главном

• Для визитки, блога, лендинга и небольшого магазина достаточно бесплатного сертификата с проверкой домена (DV).
• Бесплатный Let's Encrypt действует 90 дней и продлевается автоматически: руками это делать не нужно.
• Платный сертификат с проверкой организации (OV) нужен, если вашему контрагенту или регулятору важно подтвердить, что за сайтом стоит юрлицо.
• Сертификат подключается в панели хостинга, а после него нужно настроить переадресацию с http на https.

Что такое SSL-сертификат и зачем он сайту

SSL-сертификат подтверждает, что сайт принадлежит владельцу домена, и включает шифрование между браузером и сервером. Сейчас используется протокол TLS, но название «SSL» осталось в обиходе, и искать нужно именно по нему.

Что даёт сертификат на практике:

• Замочек и адрес с https. Без сертификата браузер пишет «Не защищено» рядом с адресом. Для сайта, где человек оставляет телефон или платит, это прямой отказ от заявки.
• Защиту данных. Пароли, номера телефонов и платёжные данные уходят в зашифрованном виде и не читаются по дороге.
• Работу сервисов. Многие функции браузеров и платёжных виджетов работают только на https-сайтах, а подключить эквайринг на сайт без сертификата не получится.

Проверить, есть ли сертификат у вашего сайта, просто: откройте его в браузере и посмотрите на значок слева от адреса. Нажав на него, увидите, кто выпустил сертификат и до какого числа он действует.

Какие бывают SSL-сертификаты

Сертификаты различаются по степени проверки и по числу доменов. Сначала о проверке:

Бесплатные сертификаты бывают только уровня DV. Шифрование у всех трёх типов одинаковое. Дорогой сертификат подтверждает больше данных о владельце, а силу шифра не меняет. Зелёной строки с названием компании, которая раньше отличала EV, в современных браузерах уже нет, так что платить за неё стоит лишь тогда, когда этого требует договор или регулятор.

По числу доменов выбор такой:

• Для одного домена (и его версии с www) подходит обычный сертификат.
• Wildcard закрывает домен и все его поддомены вида shop.site.ru, blog.site.ru. Бесплатный Let's Encrypt тоже выпускает такие сертификаты, но подтверждение владения идёт через запись в DNS.
• Мультидоменный (SAN) объединяет в одном сертификате несколько разных доменов. Берут его компании с несколькими сайтами.

Бесплатный SSL-сертификат: как он работает

Бесплатные сертификаты выпускает центр Let's Encrypt. По его справке сертификат стоит 0 ₽, имеет тип DV и действует 90 дней. Каждые 90 дней сертификат нужно выпускать заново, и хостинги делают это сами в фоне.

Что важно знать о бесплатном варианте:

• Договора и гарантий у вас с центром нет. Если что-то сломается, поддержку оказывает хостинг, а не Let's Encrypt.
• Сертификат работает, пока домен привязан к вашему хостингу. Если вы сменили DNS-записи и сертификат не перевыпустился, через три месяца посетители увидят ошибку.
• Хостинг может брать плату за собственные услуги вокруг сертификата, хотя сам он бесплатный.

Для большинства небольших сайтов это не проблема. Если сайт приносит заявки, ошибка сертификата стоит дороже самого сертификата, поэтому после подключения стоит включить в календаре напоминание проверить его через 80 дней.

Где получить сертификат: хостинг, регистратор или конструктор

На хостинге. Самый простой путь. В панели управления есть раздел «SSL» или «Сертификаты»: выбираете домен, нажимаете «выпустить» (обычно это Let's Encrypt), и через несколько минут сайт открывается по https. По данным каталога, на Timeweb бесплатный SSL входит во все тарифы:

У Рег.ру SSL-сертификат есть на каждом тарифе хостинга, вместе с защитой от DDoS и 30 резервными копиями:

Смотрите условия внимательно: у SpaceWeb в карточке отмечены платный SSL от 1 900 ₽ в год и отдельная плата за выделенный IP, поэтому перед оплатой тарифа проверьте, какой именно сертификат вам подключат и входит ли он в цену:

У регистратора домена. Регистраторы продают сертификаты отдельно: платные DV, OV и EV. Это путь для тех, кому нужна проверка организации. Заявку подаёте на сайте регистратора, подтверждаете домен и юрлицо, после чего устанавливаете выданные файлы в панель хостинга.

В конструкторе сайтов. На Tilda, Craftum, uKit и подобных платформах SSL подключается в настройках домена и входит в тариф. Самому ничего выпускать не нужно, но сертификат работает только на домене, подключённом к проекту.

На собственном сервере (VPS). Тут сертификат выпускается через программу Certbot или аналог. Это отдельная работа для администратора: нужно настроить веб-сервер и автоматическое продление. Если вы только выбираете, где разместить сайт, начните с обычного виртуального хостинга: подробности в статье про выбор хостинга для сайта.

Сколько стоит платный SSL-сертификат

Цены зависят от типа и срока. Для ориентира: платный DV-сертификат у хостингов стоит от 1 900 ₽ в год (так указано в тарифах SpaceWeb), сертификаты OV и EV дороже, а точную сумму называет центр после проверки данных. Платить за DV, когда есть бесплатный, смысла обычно нет, за исключением случаев, когда хостинг не выпускает бесплатные сертификаты или вам нужна гарантия и поддержка от удостоверяющего центра.

Покупка оправдана, если:

• договор с партнёром или тендерные требования прямо называют сертификат OV или EV;
• вам нужна ответственность центра и техподдержка по сертификату;
• сайт принимает платежи напрямую, а требования банка или платёжной системы предписывают определённый тип.

Как подключить сертификат и включить https

1. Выпустите сертификат в панели хостинга для основного домена и версии с www.
2. Включите переадресацию на https. Без неё сайт будет открываться по двум адресам, http и https. Опция обычно называется «Принудительный https» или «Редирект на https».
3. Проверьте внутренние ссылки. Картинки и скрипты, подключённые по адресам с http://, вызовут предупреждение «смешанное содержимое»: замочек пропадёт даже при исправном сертификате. В WordPress это решается заменой адресов в базе и в настройках «Адрес сайта».
4. Сообщите поисковикам. В Яндекс Вебмастере и Search Console добавьте https-версию как отдельный сайт и проверьте, что старый http-адрес отдаёт переадресацию.
5. Проверьте в браузере. Откройте главную, любую внутреннюю страницу и форму заявки.

Если домен ещё не куплен, сначала разберитесь с ним: как выбрать и оформить имя, описано в статье про домен для сайта.

Что делать, если браузер всё равно ругается

• «Сертификат недействителен» или «истёк срок». Сертификат не перевыпустился. Выпустите его заново в панели. Частая причина: сменились DNS-записи домена.
• «Имя в сертификате не совпадает». Сертификат выпущен на домен без www, а заходят с www (или наоборот). Перевыпустите на оба имени.
• Замочек есть, но с восклицательным знаком. Смешанное содержимое: часть файлов грузится по http. Откройте консоль браузера и найдите адреса с http://.
• Сайт не открывается по https совсем. Сертификат не привязан к домену или на хостинге не включено шифрование для этого сайта. Напишите в поддержку хостинга, они быстро проверяют.
• Ошибка только на телефоне. Проверьте дату и время на устройстве: при неверной дате браузер считает любой сертификат просроченным.

Часто задаваемые вопросы