Зачем нужен https и как на него перейти

Сегодня редко можно встретить сайт, который не перешёл на протокол https. И если вы пока не решились это сделать, мы настоятельно рекомендуем задуматься о переходе. О том, почему важен https, что это такое и как на него перейти вы узнаете из этой статьи. Https расшифровывается как HyperText Transfer Protocol Secure. Это безопасный протокол, о котором написаны тысячи тем. Но даже после этого вопрос остаётся очень важным. Некоторые вебмастеры вообще не понимают, зачем переходить на этот протокол, да и стоит ли вообще. Другие уже поняли все преимущества, но интересуются, как это сделать. Именно для таких людей мы и написали подробную инструкцию.

Что значит https

Прежде чем мы перейдём непосредственно к теме, давайте разберёмся в самом термине. Обычным протоколом считается http. Но если он работает с SSL и TLS, то является защищённым. Об этих терминах мы расскажем чуть позже, чтобы вы поняли, как всё работает. Получается, что https не какой-то отдельный протокол, а просто улучшенный http. Вот что это такое простыми словами. В защищённый протокол входит специальный ключ шифрования, который защищает данные пользователя или гипертекст. Кстати, термин «гипертекст» появился в 1965 году. Его примером может служить обычный html.

Что такое SSL и TLS

SSL расшифровывается как «уровень защищённых сокетов» или secure sockets layer. Это список определённых правил, которые позволяют более безопасно использовать связь. Для этого с помощью особых алгоритмов применяют шифровальное преобразование. TLS представляет собой протокол, который основан на SSL. Он означает Transport Layer Security или «безопасность транспортного уровня. С первого взгляда кажется, что SSL и TLS ничем друг от друга не отличаются. Но на самом деле разница довольно существенная.

Эти термины пригодятся нам в будущем. Но давайте перейдём непосредственно к использованию https.

• Нам нужно сделать так, чтобы сервер мог обрабатывать защищённое соединение. А для этого требуется установить сертификат SSL.

• Он представляет собой цифровую подпись и состоит из двух ключей: приватного и публичного. Они работают по абсолютно разным принципам.

• Публичный ключ доступен всем, так он не секретный.

• Приватный ключ должен знать только владелец.

• В сертификате присутствуют не только ключи, но и другая информация. Например, версия, номер, информация о его создателе и срок действия.

• Последний параметр является одним из самых важных. Ведь браузеры просто не примут сертификат, у которого вышло время действия. Хотя иногда случается так, что время ещё не наступило. Но в любом случае для браузера это ошибка.

• Если вы хотите прочитать более подробно о сертификатах, которые уже установлены, можно использовать специальные сервисы.

• https://www.ssllabs.com/ssltest/index.html потребуется, если вы хотите узнать какие-нибудь технические особенности сертификата.

• https://cryptoreport.websecurity.symantec.com/checker/views/certCheck.jsp поможет понять, правильно установлен сертификат или нет.

Какие существуют типы SSL

Эти сертификаты бывает разных типов, которые отличаются по валидации.

Давайте разберёмся, чем типы отличаются друг от друга.

1. Самоподписанный сертификат. Его главное преимущество в том, что он полностью бесплатный. Это значит, что вы его можете использовать как угодно. Да вот толку от этого никакого не будет. Дело в том, что при заходе на сайт, где установлен подобный сертификат, пользователь увидит предупреждение. Оно будет выглядеть примерно так:

 

Можно нажать «Подробнее»:

Вот что говорит Яндекс по этому поводу:

А вот что говорит Google:

Рядом с адресом будет так:

2. Сертификат проверки домена. Или сертификат начального уровня доверия. Он уже платный, зато подходит практически всем сайтам. Особенность этого сертификата в том, что он проверяет только сам домен. В большинстве случаев такого подхода вполне достаточно, поэтому многие владельцы ресурсов выбирают именно его. Чтобы получить сертификат, нужно подождать около суток.

В адресной строке это будет выглядеть так:

Цены на него начинаются от 800 рублей за год использования. Хотя иногда приходится заплатить больше 3000 рублей.

3. Сертификат проверки организации. Он уже более надёжен, так как проверяет не только доменное имя, но и саму компанию. В первую очередь определяют, существует ли организация вообще. Для этого нужно предоставить соответствующие документы. Например, ИНН и ОГРН. Затем проверяют, чтобы домен принадлежал самой компании. Для этого требуют предоставить свидетельство о регистрации домена. Физическим лицам этот сертификат недоступен.

Адресная строка выглядит так же:

Цены очень сильно отличаются. Может стоить пару тысяч, но иногда цена достигает и 30 000 в год.

4. Сертификат с расширенной валидацией. Максимальный уровень. Обычным сайтам и мелким магазинам подойдёт вряд ли. И дело даже не в том, что он доступен только юридическим лицам. Во-первых, придётся пройти сложную процедуру проверки. Во-вторых, цена такого сертификата очень высокая. Зато в адресной строке он выделяется среди остальных, что сразу говорит о высокой надёжности организации.

Вот какие цены предлагает один из регистраторов:

Минимальная цена составляет 12 000 рублей в год. Но встречаются цены и 130 000 в год.

5. Сертификат Wildcard. Это особый тип, который принципиально отличается от остальных. Обычно его используют, когда на сайте много поддоменов. Или когда между ними требуется передавать защищённую информацию. Получить сертификат легко, да и цена относительно приемлемая. А некоторые хостинги вообще его предлагают в виде отдельной услуги.

Цена начинается от 1500 рублей в год и достигает 40 000 рублей.

Иногда на хостингах можно подключить https только вместо с покупкой выделенного IP. А это дополнительная плата от 1000 рублей за год использования.

Обычно при установке сертификата SSL проблем не возникает. Но если вы никак не можете справиться, тогда обратитесь к своему поставщику услуг. Или закажите установку в нашей компании.

Мы разобрали термины и рассмотрели типы хостинга. Теперь перейдём у самому главному: для чего вообще всё это нужно.

Зачем использовать https?

Вот главные причины перехода на безопасное соединение.

• Все данные передаются по защищённому протоколу.

• Поисковики любят сайты с установленным SSL-сертификатом, а значит и в выдаче дают им приоритет.

• Браузер Chrome предупреждает пользователей, когда они заходят на сайт с http.

• Яндекс.Видео не воспроизводит ролики с сайтов на http.

Это очень весомые причины. Поэтому выбирать между https или http не приходится. Если вы ещё не перешли на защищённое соединение, сейчас мы расскажем, как это сделать.

Пошаговая инструкция по переходу на https

1. Если ваш сайт работает давно, и на нём есть трафик, лучше выбрать такое время, когда посещения минимальны. Это позволит осуществить переезд максимально безболезненно. Определить сезон с малым количеством трафика помогут сервисы аналитики от Яндекса и Google. Надеемся, что вы их используете.

2. Теперь нужно выбрать тип сертификата SSL.

3. Для установки сертификата потребуется зайти в панель управления хостингом. Если не получается, обратитесь за помощью в техподдержку.

4. Нас интересует файл robots.txt, в котором необходимо прописать новый протокол. Сделать это можно так:

User-agent: Yandex

…

Host: https://site.ru

5. Чтобы поисковики правильно восприняли переадресацию, нужно настроить переезд в их сервисах аналитики. Заходим в Яндекс.Метрика. Предполагается, что вы уже подтвердили права на сайт.

6. Заходим в «Индексирование» и выбираем раздел «Переезд сайта». Не нужно ничего писать, достаточно поставить галочку около надписи «Добавить HTTPS». Сохраняем настройки.

7. К сожалению, добавление защищённого протокола не происходит моментально. Придётся подождать некоторое время. Оно для каждого сайта разное, но в среднем составляет не больше 14 дней.

8. Теперь нужно настроить редирект 301. Только следите, чтобы не получилась бесконечная переадресация.

9. Исправляем ссылки, которые присутствуют в коде и на страницах контента.

10. Исправляем ссылки в карте сайта.

11. Новую xml-карту требуется внести в панель Яндекс.Вебмастер.

12. Теперь нужно поработать в сервисе Google Search Console.

13. В настройках сайта требуется записать основной домен.

14. Если до этого производили какие-либо настройки, переносим их на новый протокол.

15. Добавляем версию с https в аккаунт.

16. Когда переезд завершён, стоит обновить любые входящие ссылки. Например, это могут быть профили социальных сетей или сервисов Google.

Вот и всё, что требуется знать о переходе на защищённое соединение. Но если вы боитесь, что не сможете сделать всё правильно, обращайтесь в нашу компанию. Мы быстро и качественно осуществим переезд. Яндекс сообщает, что не нужно производить переезд сайта, как это написано в пункте 7. Но наша практика показывает, что несмотря на новые правила, Яндекс продолжает использовать этот инструмент, но он потребуется только в том случае, когда большая часть страниц с незащищённым протоколом перестанет находиться в выдаче. Поэтому мы советуем сначала дождаться окончательного исключения из поиска, а уже потом переходить на https.