SSL-сертификат: зачем замок в адресной строке

Что такое сертификат и что такое защищённое соединение

Это две разные вещи, которые работают вместе, поэтому их постоянно путают.

Защищённое соединение — это способ передачи данных, при котором всё, что идёт между браузером посетителя и сайтом, зашифровано. Без него данные путешествуют открытым текстом: любой, кто имеет доступ к участку сети по дороге — владелец кафейного Wi-Fi, провайдер, человек с подходящей программой в той же сети, — может их прочитать и подменить. С ним получается конверт вместо открытки. По дороге видно, что конверт идёт от посетителя к вашему сайту, но не видно, что внутри.

Сертификат — это документ, который делает такое соединение возможным. Его выдаёт удостоверяющий центр, предварительно проверив, что домен действительно ваш. Браузер при открытии страницы смотрит на сертификат, убеждается, что подпись центра настоящая и имя в сертификате совпадает с адресом в строке, и только после этого договаривается о шифровании. Без сертификата шифровать не с кем: иначе любой желающий мог бы выдать себя за ваш сайт и спокойно читать переписку.

Название в прайсах осталось старым. Протокол SSL давно сменился на TLS, но «SSL-сертификат» прижилось в панелях хостинга и счетах, так что искать и спрашивать удобнее по старому имени.

Важное следствие: сертификат выдаётся на конкретное имя. Если он выпущен на primer.ru, а человек набрал www.primer.ru, браузер покажет предупреждение — имена для него разные. Поэтому сертификат берут сразу на оба варианта. Та же логика с кириллическими доменами и с прочими особенностями адреса, о которых мы писали в статье «Как выбрать домен».

Что браузер показывает вместо замка

У браузера три состояния, и посетитель видит их раньше, чем ваш текст.

• Всё в порядке. Замок или нейтральный значок слева от адреса. Браузеры нарочно делают это состояние незаметным: защищённое соединение стало нормой, а не достижением.
• Сертификата нет. Вместо замка — надпись «Не защищено» серым или красным, а при наборе текста в поле формы некоторые браузеры добавляют отдельное предупреждение прямо под полем.
• Сертификат есть, но с ним что-то не так. Страница не открывается вообще: на весь экран появляется предупреждение вида «Подключение не защищено», крупная кнопка возврата и спрятанная вниз ссылка «Дополнительно». Это худший из трёх случаев: сайта для человека в этот момент просто нет.

И честная оговорка, которую продавцы сертификатов не любят. Замок говорит только о том, что соединение зашифровано и адрес соответствует сертификату. Он ничего не говорит о том, честная ли за сайтом компания: мошеннический сайт получает бесплатный сертификат за те же пять минут, что и ваш. Замок — не знак доверия к фирме, а отсутствие повода закрыть страницу.

Что происходит с заявками на сайте без https

Потери складываются из четырёх разных вещей, и только одна из них про технику.

Первое и главное — люди. Человек пришёл из объявления, увидел предупреждение и ушёл, не прочитав ни строчки. Он не разбирается, просрочен сертификат или его не было никогда; он видит, что браузер его предостерегает, и ведёт себя разумно. Хуже всего, что этого не видно по счётчику: отказ выглядит как обычный быстрый уход со страницы.

Второе — формы. Поле «телефон» на незащищённой странице браузер сопровождает своим предупреждением в самый неподходящий момент: когда человек уже начал его заполнять.

Третье — поиск. Защищённое соединение входит в базовые технические требования поисковых систем к сайту уже много лет, и сайт без него выглядит заброшенным. Обещать позиции мы не станем, но из двух потерь эта вторая по размеру: главная — люди, закрывшие страницу.

Четвёртое — всё, что подключается к сайту потом. Онлайн-оплату банк на незащищённую страницу не поставит, а часть корпоративных сетей и антивирусов такие сайты режет сама, без спроса у сотрудника.

Причём здесь персональные данные

Форма обратной связи с полями «имя» и «телефон» — это сбор персональных данных. Закон требует от того, кто их собирает, принимать меры защиты при передаче, и передача открытым текстом по незашифрованному каналу этому требованию не отвечает. Проверяющему здесь даже не нужен специалист: достаточно открыть сайт и посмотреть на адресную строку.

Поэтому сертификат стоит в одном ряду с политикой обработки данных и галочкой согласия под формой — это не три разные задачи, а один комплект, без которого форму заявки лучше не включать. Что именно требуется сайту с формой, мы разобрали в статье «152-ФЗ простыми словами».

Бесплатный сертификат или платный

Разница не в надёжности шифрования. Оно одинаковое. Разница в том, что именно проверял удостоверяющий центр перед выдачей.

Бесплатный. Центр проверяет одно: что домен управляется вами. Выдаётся за минуты, обычно на 90 дней, и продлевается автоматически — на нормальном хостинге это делается без вашего участия, достаточно один раз включить. Именно такие сертификаты стоят сегодня на большинстве сайтов, и именно они дают тот самый замок. Выпуск и автопродление живут в панели поставщика, рядом с остальными настройками, — как это устроено, видно в статье «Хостинг простыми словами».

Платный с проверкой организации. Центр дополнительно проверяет, что компания существует: запрашивает документы, иногда звонит. Название организации попадает внутрь сертификата, и его видно, если нажать на замок и открыть подробности. Проблема в том, что раньше расширенная проверка красила адресную строку и показывала название компании прямо в ней — браузеры эту подсветку убрали, и единственный заметный посетителю аргумент пропал вместе с ней.

Кому платный действительно нужен: банкам и страховым, крупным магазинам с большим оборотом, тем, от кого сертификат определённого типа требует партнёр или внутренний регламент. Иногда платный берут из-за сопутствующих удобств — одного сертификата на все поддомены сразу или страховой суммы от центра.

Небольшому бизнесу платный сертификат почти никогда не нужен, и говорить об этом лучше прямо. Если хостинг-поставщик или подрядчик предлагает сертификат отдельной строкой в счёте, спросите, чем он отличается от бесплатного для вашего сайта. Обычно ответ — ничем, кроме цены.

Что делать, если замок исчез или браузер пугает предупреждением

По порядку, от самого частого к редкому.

1. Прочитайте, что написано. Браузер почти всегда называет причину: сертификат истёк, сертификат выдан на другое имя, сертификату не доверяют. Это три разные поломки с тремя разными решениями.
2. Проверьте дату и время на своём устройстве. Сбитые часы дают такое предупреждение сразу на всех сайтах. Если с телефона по мобильному интернету сайт открывается нормально, а с рабочего компьютера нет, дело в устройстве или в сети, а не в сайте.
3. Откройте панель хостинга. В разделе с сертификатами видно срок действия. Чаще всего всё лечится повторным выпуском одной кнопкой, после чего стоит проверить, включено ли автопродление: если сертификат истёк, значит оно либо выключено, либо не сработало.
4. Если сертификат на месте, а замка нет — ищите смешанное содержимое. Это когда сама страница открывается по защищённому соединению, а картинка, шрифт или скрипт на ней подгружаются по старому адресу с http. Браузер на такой странице замок убирает. Обычно виновник один и вставлен в текст страницы руками.
5. Чего делать нельзя. Советовать посетителям нажать «Дополнительно» и продолжить, отключать проверку в браузере, снимать предупреждение расширениями. Пока предупреждение висит, сайта для людей нет, и это задача на час, а не на неделю.

Как это устроено у нас

Защищённое соединение входит в любой тариф — от «Старта» за 24 900 ₽ до «Магазина» за 179 900 ₽, это видно на странице цен. На сдаче сайт уже открывается по https на домене и на варианте с www, со старого адреса стоит переадресация, автопродление включено, а смешанное содержимое проверено.

Дальше вопрос один: кто следит за продлением. Если вы берёте обслуживание, следим мы: в «Базе» за 4 900 ₽ в месяц хостинг, продление домена, резервные копии и отслеживание доступности на нас, то есть о сломавшемся сертификате мы узнаём раньше вашего клиента. То же в «Активе» за 9 900 ₽ в месяц. Если обслуживания нет, автопродление всё равно настроено и работает само — но сертификат живёт в той же панели, что хостинг, поэтому следить нужно за оплатой хостинга: отключили панель — исчез и замок.

Сертификат относится к той части сайта, которую замечают только в сломанном виде. Исправно работающий замок не прибавит вам ни одной заявки — он лишь не даёт человеку уйти до того, как он прочитал первый экран. В этом вся его работа: быть на месте и не привлекать к себе внимания.