SSL-сертификат и HTTPS: почему браузер пишет «Не защищено»

Что такое SSL и что видит клиент

SSL-сертификат - это файл, который лежит на сервере вашего сайта и решает ровно две задачи. Первая: шифрует всё, что человек отправляет через сайт, - имя, телефон, текст заявки, пароль от личного кабинета. Без шифрования эти данные летят по сети открытым текстом, и их в принципе может прочитать кто угодно на пути между посетителем и вашим сервером. Вторая задача: подтверждает, что домен принадлежит именно вам, а не тому, кто подделал внешний вид вашего сайта.

Когда сертификат на месте и не просрочен, адрес открывается по https://, а браузер рисует замок. Когда его нет, протухла дата или он выписан не на тот домен, картина другая. Chrome и Яндекс.Браузер показывают серую плашку «Не защищено» рядом с адресом, а в тяжёлых случаях - целую страницу-заглушку «Подключение не защищено» с кнопкой «Вернуться в безопасное место». Пройти дальше можно, но только через скрытую ссылку «Дополнительно», о которой обычный человек не знает и знать не хочет.

И вот здесь главная мысль, ради которой это вообще стоит читать владельцу бизнеса. Для посетителя это не техническая мелочь, а сигнал «тут что-то нечисто». Он не разбирается в сроках действия сертификатов. Он видит красный экран с черепом и словом «опасность» - и делает единственный разумный вывод: сюда лучше не вводить телефон. Заявки просто перестают приходить, при этом реклама продолжает откручиваться и бюджет продолжает тратиться.

Поэтому SSL давно перестал быть темой «для тех, кто принимает оплаты картой». Он нужен любому сайту, где есть хотя бы форма обратной связи. А формально - вообще любому, потому что браузеры уже несколько лет считают HTTP-соединение по умолчанию небезопасным, независимо от того, что на странице.

Откуда берётся «Не защищено»

По нашему опыту в APST причин почти всегда пять, и ни одна из них не требует переделывать сайт. Разберём по порядку, от самой частой к самой неприятной.

Отдельно назовём шестую причину, которая формально не про SSL, но выглядит для клиента точно так же: сайт просто не переехал на https целиком. Так бывает, когда сертификат подключили кнопкой в панели хостинга, а в настройках CMS основной адрес остался с http. Сайт живёт в двух реальностях, ссылки внутри ведут то туда, то сюда, поисковик индексирует обе версии. Про то, как вообще устроена связка домена и хостинга и кто за что отвечает, мы отдельно писали в разборе домена и хостинга - без этой базы диагностика превращается в гадание.

Какие сертификаты бывают и какой нужен вам

Тут индустрия за годы нагородила терминов, хотя выбор для обычного бизнеса сводится к трём вариантам. Шифрование, кстати, во всех трёх одинаковое - разница только в том, что именно проверял удостоверяющий центр перед выдачей.

DV, проверка домена. Центр убедился, что вы управляете доменом, и всё. Выдаётся автоматически за минуты, стоит от нуля. Сюда относятся бесплатные сертификаты, которые сейчас раздаёт почти любой хостинг в один клик. Для лендинга, сайта-каталога, корпоративного сайта, блога - этого достаточно. Замок в браузере будет ровно такой же, как у крупного банка, и посетитель разницы не увидит никакой.

OV, проверка организации. Центр дополнительно проверил, что за доменом стоит реальное юрлицо: сверил ИНН, позвонил, запросил документы. Стоит денег, выдаётся несколько дней. Смысл появляется, когда через сайт идут чувствительные данные или когда партнёры действительно смотрят в детали сертификата - что случается редко.

EV, расширенная проверка. Исторически именно за него платили большие деньги, потому что браузер рисовал зелёную строку с названием компании. Этой зелёной строки больше нет - её убрали все основные браузеры ещё несколько лет назад, потому что выяснилось, что пользователи на неё не смотрят. Сейчас EV имеет смысл для банков и платёжных сервисов, где это требование регулятора, а не маркетинг.

Вывод неприятный для продавцов сертификатов и приятный для вас: подавляющему большинству сайтов хватает бесплатного DV. Если хостинг-провайдер или подрядчик продаёт вам сертификат за десятки тысяч рублей в год «для надёжности и доверия клиентов» - попросите объяснить, что конкретно изменится для посетителя. Честный ответ: ничего.

Отдельный случай - wildcard, сертификат на домен со всеми поддоменами сразу. Он оправдан, когда у вас есть или планируется несколько поддоменов: магазин, личный кабинет, блог, тестовая версия. Держать пять отдельных сертификатов с пятью разными датами продления - верный способ рано или поздно что-нибудь просрочить.

Российская специфика: Минцифры и зарубежные центры

Здесь придётся говорить прямо, потому что тема живая и полная мифов. С 2022 года часть зарубежных удостоверяющих центров перестала обслуживать российские компании, особенно подсанкционные. В ответ Минцифры запустило собственный национальный удостоверяющий центр, который выдаёт сертификаты бесплатно через Госуслуги.

У национального сертификата есть одна принципиальная особенность, о которой надо знать заранее. Его корневой сертификат по умолчанию признают не все браузеры. Яндекс.Браузер и Atom - признают. Chrome, Safari, Firefox на устройстве, где корневой сертификат не установлен вручную, покажут ровно ту самую ошибку «Подключение не защищено», от которой вы и уходили. То есть для части аудитории лекарство выглядит как болезнь.

Практическая рекомендация, которую мы даём клиентам, простая. Если вы обычный бизнес без санкционных ограничений - оставайтесь на бесплатном международном сертификате, его никто у вас не забирает, он выпускается автоматически и работает во всех браузерах мира. Национальный сертификат от Минцифры имеет смысл ставить, когда международные центры вам реально отказывают: банки, крупные госкомпании, подсанкционные структуры. Ставить его «на всякий случай» вместо рабочего - значит своими руками закрыть сайт для части посетителей.

Второй момент, который всплывает регулярно: размещение сайта за зарубежным CDN или прокси. Схема, когда трафик идёт через иностранный сервис, а сертификат выпускает он же, живёт до первой блокировки или отключения. Если бизнес завязан на российскую аудиторию и российский поиск, надёжнее держать сайт на российском хостинге с сертификатом, который выпускается на вашем же сервере. Меньше движущихся частей - меньше поводов для сюрприза.

И третье. Переход на https влияет на индексацию, и если сделать его небрежно, поисковик может на время потерять часть страниц. Это не повод не переходить, это повод сделать аккуратно: настроить постраничные редиректы, обновить адрес в Яндекс.Вебмастере и Search Console, пересобрать карту сайта. Мы подробно разбирали, почему сайта может не быть в поиске Яндекса - кривой переезд на https стабильно входит в список причин.

Гигиена: продление, редиректы, смешанный контент

SSL - это не разовая установка, а небольшая рутина. Ниже то, что имеет смысл проверить один раз и потом не вспоминать.

Автопродление. Бесплатные сертификаты выпускаются на девяносто дней и продлеваются автоматически - если автопродление включено и если сервер в момент продления доступен. Стоит один раз убедиться, что галочка стоит, и настроить оповещение на почту за две недели до истечения. Это единственная страховка от классического сценария «сайт лёг в субботу, а узнали в понедельник».

Постраничный редирект с http на https. Не общий на главную, а именно постраничный: каждый старый адрес должен вести на свой новый. Редирект на главную со всех страниц - это потеря позиций и злые посетители, которые пришли по ссылке из поиска на конкретную услугу, а попали непонятно куда.

Один канонический адрес. Выберите, с www вы живёте или без, и склейте остальные варианты редиректом. У сайта должен быть один основной адрес, а не четыре его вариации.

Чистка смешанного контента. После переезда пройдитесь по сайту и посмотрите, не осталось ли жёстко прописанных http-ссылок на картинки, шрифты, виджеты и счётчики. Особенно часто это встречается в старых виджетах обратного звонка и в письмах с сайта.

Проверка на разных устройствах. Обязательно откройте сайт с телефона, из другого браузера и с чужого интернета. Ошибку неполной цепочки сертификатов на своём рабочем ноутбуке вы не увидите никогда - именно поэтому её и находят последней.

Насчёт влияния на скорость есть устойчивый миф, что https тормозит сайт. Когда-то в этом была правда, сегодня современный HTTPS с HTTP/2 работает не медленнее, а в ряде случаев быстрее обычного http, потому что HTTP/2 без шифрования браузеры просто не поддерживают. Если сайт тормозит, причина почти наверняка в другом - мы разбирали это в материале про скорость загрузки сайта.

И честная оговорка про результат. Правильный сертификат не поднимет вам продажи и не приведёт заявки сам по себе - он убирает препятствие, а не создаёт спрос. Гарантировать рост конверсии после установки SSL мы не возьмёмся, и никто честный не возьмётся. Зато можно уверенно сказать обратное: сломанный сертификат гарантированно отнимает часть обращений, и вы даже не узнаете, сколько именно, потому что эти люди уходят молча.

Частые вопросы

Сколько стоит SSL-сертификат для сайта?

Для большинства сайтов - нисколько. Бесплатный DV-сертификат выпускается в панели почти любого хостинга в один клик и работает во всех браузерах. Платные варианты стоят от нескольких тысяч до десятков тысяч рублей в год, но дают не более сильное шифрование, а более глубокую проверку компании. Обычному бизнесу это не нужно.

Почему браузер пишет «Не защищено», если сертификат есть?

Чаще всего из-за смешанного контента: страница открывается по https, но внутри неё часть картинок, шрифтов или скриптов грузится по старому http. Второй по частоте вариант - сертификат выписан на домен без www, а человек зашёл с www. Оба случая лечатся правками в настройках, а не переделкой сайта.

Нужен ли SSL, если на сайте нет оплаты и личного кабинета?

Да. Браузеры помечают как небезопасное любое http-соединение, независимо от содержимого страницы. Плюс через обычную форму заявки человек передаёт имя и телефон - это персональные данные, и защищать канал их передачи вы обязаны. Сайт-визитка без сертификата в 2026 году выглядит как заброшенный.

Что будет, если сертификат просрочился?

Сайт продолжит работать технически, но браузер закроет его страницей-предупреждением, которую нужно вручную пропускать. Практически это значит, что подавляющее большинство посетителей уйдёт, а реклама будет откручиваться в пустоту. Чинится обычно за считаные минуты - поэтому настройте оповещение об истечении заранее.

Стоит ли переходить на сертификат Минцифры?

Только если международные удостоверяющие центры вам отказывают из-за санкций. Национальный сертификат бесплатный, но его корень по умолчанию признают Яндекс.Браузер и Atom, а Chrome, Safari и Firefox без ручной установки корневого сертификата покажут ошибку. Для обычного бизнеса это шаг назад, а не вперёд.

Влияет ли переход на https на позиции в поиске?

Сам по себе https поисковики считают положительным сигналом, но эффект небольшой. А вот неаккуратный переезд реально вредит: без постраничных редиректов и смены основного зеркала в Вебмастере часть страниц может временно выпасть из индекса. Поэтому переход планируют, а не делают кнопкой в пятницу вечером.

Короткий вывод

SSL-сертификат - это гигиена, а не опция. Он шифрует данные, которые клиент вводит в форму, и убирает из браузера надпись, которая отпугивает людей сильнее любого неудачного дизайна. Обычному бизнесу достаточно бесплатного DV-сертификата: шифрование там ровно то же, что у платного, а зелёной строки в браузерах не существует уже несколько лет. Сертификат Минцифры нужен только тем, кому отказывают международные центры, - остальным он закроет сайт для Chrome и Safari. Главная работа не в установке, а в рутине: автопродление, постраничный редирект с http, один канонический адрес и вычищенный смешанный контент. Роста продаж от этого никто не обещает, но сломанный сертификат точно и молча отнимает у вас часть обращений.

Проверим сертификат на вашем сайте

APST делает сайты в Воронеже с 2005 года и постоянно чинит чужие переезды на https: цепочки сертификатов, смешанный контент, редиректы и потерянные при переезде страницы. Пришлите адрес сайта - посмотрим, что показывает браузер на разных устройствах, и честно скажем, надо ли вообще что-то трогать.

Обсудить проект