Переезд с HTTP на HTTPS без потери позиций и трафика

Защищённое сетевое соединение — одно из требований поисковых систем и браузеров к качественному сайту. Стандартный сетевой протокол HTTP ещё используется, но устаревает. Если вам нужны высокие оценки поисковых систем и благосклонное отношение пользователей, переезд сайта на HTTPS — более современный защищённый стандарт — практически неизбежен. Это делается несложно и относительно быстро, но потребует от вас внимательности и аккуратности, чтобы не столкнуться впоследствии с ошибками.

Чем различаются HTTP и HTTPS

HTTP расшифровывается как Hypertext Transfer Protocol. Это стандартный протокол связи, который используется практически на любом сайте. На заре интернета именно он устанавливал соединение на большинстве страниц. Со временем прогресс шёл вперёд, стандартного протокола перестало хватать для нарастающих нужд пользователей. Появился новый стандарт HTTP/2, в нём были улучшены и безопасность, и производительность. Сейчас он уступает место HTTPS — расширенной версии с поддержкой шифрования. Благодаря ей можно устанавливать защищённое соединение по криптографическому протоколу SSH (Secure Sockets Layer). Так злоумышленники не могут перехватить информацию и захватить данные, которые пользователи передают сайту, и уровень безопасности серьёзно повышается.

Зачем нужен переезд

С первого взгляда кажется, что перенос на защищённый протокол нужен только ресурсам, работающим с личной информацией. HTTPS обязателен для систем, которые так или иначе принимают от пользователей данные банковских карт или персональные сведения. Это практически любой интернет-магазин или коммерческий ресурс. Информационным порталам тоже рекомендуется переезжать: пользователи указывают сведения о себе при регистрации, хотя здесь это не так критично. Но есть и ещё несколько факторов.

Ранжирование. Поисковые системы не скрывают, что наличие защищённого протокола серьёзно повышает качество сайта в глазах роботов. Если вы хотите выйти в топ выдачи, переезд необходим. Даже вебмастерские панели советуют переезжать на HTTPS.

Скорость. HTTP/2, на базе которого работает защищённый протокол, намного быстрее стандартного HTTP. Это особенно важно, если на сайте много картинок, графики, видео — элементов, которые много весят и могут долго подгружаться. HTTPS, помимо всего прочего, более современный. Идти в ногу со временем всегда лучше, чем отставать.

Доверие. Браузеры стараются заботиться о безопасности пользователей. Почти каждый современный интернет-браузер сообщает, защищён сайт или нет. Плашка «безопасное соединение» в левой части адресной строки вызывает у человека намного больше доверия, чем предупреждающий значок «это соединение не защищено». Сейчас очень многие заботятся о своих персональных данных, так что даже информационный ресурс без шифрования может вызвать недоверие посетителя. А коммерческий незащищённый сайт — тем более. Если вы работаете с электронной оплатой или платёжными реквизитами, без HTTPS пользователи вряд ли согласятся купить у вас товар.

Подготовка к переезду на HTTPS

Непосредственное перемещение сайта отнимает немного времени. Но, чтобы после него ничего не вылетело с ошибкой, перед переездом нужна подготовка. Чем «чище» ваш сайт и чем внимательнее вы следили за его содержимым, тем меньше действий придётся совершить.

Бэкап. Главное правило: перед каждым вмешательством необходимо сделать резервную копию данных. Вероятность, что что-то пойдёт не так, минимальна и почти равна нулю, но всё-таки есть. Во избежание форс-мажоров бэкап необходим. Если он у вас будет, вы сможете откатить состояние сайта в два счёта и избежать падения и простоя.

Ссылки. URL на страницах ресурса могут быть двух видов:

• абсолютные — прописывается полный адрес страницы, на которую ссылается линк;
• относительные — записывается часть адреса: не http://mysite.example/articles, а просто /articles.

То, каким образом сделана перелинковка, зависит от квалификации специалиста, который за ней следит. Абсолютные ссылки проще проставить, но при переезде на другой домен они могут стать дополнительной проблемой. В каждой из них придётся менять адрес, исправляя http:// на https://. Учитывая, что линков на сайте могут быть тысячи, вручную это делать долго и сложно. К тому же менять придётся не только URL, ведущие на другие страницы, но и ссылки на скачивание файлов и пути к картинкам.

Как автоматизировать замену ссылок. Обычно это делают одним из двух способов:

• выгружают базу данных и массово заменяют нужный элемент с помощью текстового редактора Notepad++ или Sublime (эти программы заточены под код и таблицы и не вызовут проблем с форматированием в отличие от большинства популярных редакторов). В каждом из них есть функция «Найти и заменить»;
• скачивают надстройку или плагин для CMS сайта, чтобы добавить в неё возможность массовой замены текстов или URL. Такие есть для каждой популярной админки, многие из них поддерживают регулярные выражения.

Специалисты рекомендуют не просто заменять в адресах http:// на https://, а сразу переделывать линки в относительные. Это удобно: если вам понадобится ещё один переезд (например, вы захотите сменить доменное имя), не придётся снова заменять все URL на страницах.

Замена домена. В любой CMS можно настроить имя сайта. В разных админках путь к нему разный: к примеру, в WordPress это «Настройки» — «Общие настройки» — «Адрес сайта» и «Адрес WordPress». В обоих текстовых полях нужно заменить URL: исправить http на https. Это делается до активации защищённого протокола, но надолго ресурс так оставлять нельзя.

Robots и sitemap. У каждого сайта есть карта sitemap.xml, и перед переездом её бывает нужно отредактировать. Если она генерируется автоматически, а URL на самих страницах заменены, это может и не понадобиться, но даже в таком случае стоит перепроверить, как в ней отображаются ссылки. Все http следует заменить на https. Внимания заслуживает один файл — robots.txt: там отображается информация для поисковых роботов. Раньше там приходилось прописывать новые директивы, сейчас это необязательно: достаточно изменить путь к файлу sitemap.xml.

Скрипты. В любых внешних скриптах, которые использует сайт, нужно заменить подключение на HTTPS. Проверить его можно, пройдя по страницам ресурса программой-краулером: Netpeak, Screaming Frog, другими сервисами для анализа сайтов. Если пропустить где-нибудь http, получите смешанный протокол, а не чистое защищённое соединение — такого допускать не стоит.

Покупка SSL

В большинстве случаев за переезд придётся заплатить. Это недорого и, по сути, сводится к покупке сертификата SSL, который позволяет использовать HTTPS. Он даёт возможность шифровать данные и содержит в себе данные о домене, цифровую подпись и публичный криптографический ключ (существует ещё и секретный приватный ключ).

CA. Сертификат выдаётся одним из центров сертификации (CA), имя которого сообщается пользователю по нажатию на значок защищённого соединения в адресной строке.

Центры различаются уровнем известности, расценками и количеством поддерживаемых браузеров. Если в браузере не установлен так называемый корневой сертификат какого-либо CA, тот будет выдавать ошибку сертификации. Такая же ошибка возникает, если владелец сайта решил использовать так называемый self-signed certificate, сгенерированный на его собственном сервере. Обычно самоподписные сертификаты используются только для технических целей. Они бесплатны, делаются в два клика, но для публичного применения противопоказаны: при входе на страницу любой браузер сообщит о недоверенном сертификате. Оптимальный выход — не рисковать с малоизвестными компаниями и заказать SSL у проверенного центра.

Виды SSL. Сертификат бывает одного из нескольких типов:

• DV. Наиболее доступный из всех видов, быстро выдаётся и не требует дорогостоящих вложений. Используется небольшими компаниями и информационными сайтами. Проверяется только домен;
• DC. В этом случае центр сертификации проверяет не только домен, но и принадлежность его компании. Это занимает больше времени: стандартный срок — три дня. Такой тип сертификата покупают крупные компании, которым важно доверие клиента;
• EV. Расширенная проверка занимает до 10 дней и стоит дороже других вариантов, доступна только юридическим лицам. Зато обеспечивает максимум доверия, а в адресной строке вместе со значком защищённого соединения начинает выводиться название компании. Этим типом пользуются широко известные корпорации с мировым именем.

Чаще всего сертификат выдаётся для одного домена, есть варианты с пометкой Wildcard, поддерживающие несколько поддоменов. Выбрать можно на сайте любого центра сертификации.

Как купить SSL. Это несложно и делается прямо на сайте CA в личном кабинете. Понадобится:

• выбрать подходящий вариант SSL;
• указать необходимые сведения;
• сохранить ключи, которые выдаст система;
• привязать сертификат к домену;
• подождать валидации.

Сроки зависят от того, какой вариант вы выбрали и как много проверок проведёт центр сертификации.

Активация HTTPS

После получения SSL-сертификата, привязки его к домену и валидации нужно активировать защищённое соединение. Это делается в панели управления или в личном кабинете хостинга: понадобится всего лишь ввести данные, которые вам отправит центр сертификации.

Бывает ли сертификат бесплатным

Да, SSL действительно можно получить бесплатно одним из двух способов:

• использовать самоподписной сертификат. Крайне не рекомендуется: его не распознает ни один браузер, и каждый пользователь будет видеть ошибку сертификации при попытке зайти на сайт. Доверия это не добавит;
• воспользоваться услугами некоммерческого центра сертификации, например Let’s Encrypt. Поисковые системы и браузеры нормально воспринимают такие SSL, но о проверках компании речи идти не будет.

Что делать после замены

Сначала нужно сообщить поисковикам о переезде на HTTPS, после этого настроить перенаправление и немного подождать. Обычно поисковые системы реагируют не сразу.

Вебмастерские панели. В Яндекс.Вебмастере сообщить о переносе несложно. Нужно:

• добавить новый адрес с https;
• в «Индексирование» — «Переезд сайта» проставить галочку;
• залить обновлённый sitemap.xml;
• указать регион.

Для Google Search Console алгоритм несколько сложнее: веб-мастера нередко используют Disavow Links, сервис для отклонения внешних ссылок в поисковике. Поэтому нужно:

• залить новый адрес;
• обновить файл Disavow, если он использовался;
• заменить sitemap.

Настройка редиректа. Необходимо настроить перенаправление: если пользователь по старой памяти введёт в адресную строку http, его нужно будет перенаправить на https. Для этого используется правило 301 Permanent Redirect. Это делается через служебный файл .htaccess одним из нескольких популярных способов. Обычно достаточно нескольких строчек кода, в зависимости от ситуации можно реализовать редирект по-разному.

Ожидание. Поисковые системы переиндексируют сайт в течение 1–2 недель. Такой срок полностью нормален, не нужно опасаться, что вы сделали что-то не так.

Распространённые ошибки

Чаще всего ошибки — следствие невнимательности со стороны человека, отвечающего за переезд. Особенно часто встречаются:

• забытые URL с HTTP;
• неполадки с sitemap, где остаются старые версии адресов, или неправильный путь к карте сайта;
• проблемы с редиректом (использование временного правила 302 вместо 301, случайно допущенная цикличная переадресация, редирект страниц на главную и т. д.);
• сбои в работе API, которым забыли указать новые адреса;
• неполадки с 1С, если данные не обновили;
• ошибки при наборе адресов или доменного имени;
• случайная переадресация на www для сайта, который его не использует;
• наличие rel=”canonical” на старые адреса.

Не забудьте очистить кеш перед проверкой, всё ли работает правильно. Иначе браузер запомнит старую версию сайта, и вы можете подумать, что что-то не сработало, хотя всё работает нормально.

Чего не нужно бояться

• Обнуление показаний скриптов репостов. Это нормально: счётчик начнёт работать заново для новой версии сайта.
• Потеря трафика. Она действительно возможна, но обычно бывает кратковременной. Всё обычно восстанавливается в течение месяца, после чего позиции могут даже начать расти: безопасные веб-ресурсы лучше ранжируются.
• Внедрение ЧПУ. Человекопонятные URL можно внедрять до, после или одновременно с подключением SSL. Если это делается одновременно, склейка разных версий сайта в поисковых системах может занять чуть больше времени.

Если не хотите делать всё самостоятельно, можете обратиться к помощи профессионалов. Так вы будете защищены от ошибок и временных затрат.