SSL-сертификат: что это, зачем нужен сайту и как влияет на продажи

Что такое SSL-сертификат простыми словами

Когда посетитель открывает сайт, данные идут через десяток промежуточных узлов: домашний роутер, оборудование провайдера, магистральные каналы. По открытому протоколу http всё содержимое передаётся текстом — телефон в форме, логин в админку, номер карты. Любой, кто контролирует хотя бы один узел на пути, читает это без усилий.

Сертификат решает две задачи сразу. Первая — подлинность: он выдан центром сертификации, которому доверяет браузер, и подтверждает, что вы соединились именно с example.ru, а не с подставным сервером. Вторая — шифрование: на основе сертификата стороны договариваются о ключах, и дальше трафик идёт нечитаемым для посредников.

Терминологическая деталь, которая всплывает при разговоре с подрядчиком: протокол SSL устарел и отключён везде, реально используется TLS версий 1.2 и 1.3. Название «SSL-сертификат» осталось по привычке — файл один и тот же, вопрос только в том, какой протокол включён на сервере. Если хостинг всё ещё отдаёт TLS 1.0 или 1.1, это отдельная проблема, которую нужно закрывать вместе с установкой.

От чего сертификат защищает, а от чего нет

Здесь чаще всего возникает опасная иллюзия. Наличие замка в адресной строке означает ровно одно: канал между браузером и сервером зашифрован, и домен подтверждён. Всё остальное сертификат не гарантирует.

• Защищает: от перехвата данных форм, паролей и cookies в открытых сетях; от подмены содержимого страницы провайдером или владельцем Wi-Fi; от кражи сессии администратора при входе в панель.
• Не защищает: от взлома CMS через дырявый плагин, от слабых паролей, от вредоносного кода в теме, от утечки базы, от спама в формах и от того, что сайт вообще принадлежит мошенникам.

Последнее важно объяснять клиентам: фишинговые сайты давно работают по https — бесплатный сертификат может выпустить кто угодно на любой свой домен. Замок говорит «соединение защищено», а не «этой компании можно верить». Реальная безопасность сайта складывается из обновлений, резервных копий и контроля доступов, и разбирается отдельно — этому посвящён весь наш раздел про безопасность сайтов.

Как отсутствие https бьёт по продажам

С июля 2018 года Chrome помечает как «Не защищено» все страницы без сертификата — не только те, где есть формы. Яндекс.Браузер ведёт себя так же. При попытке ввести данные в поле на http-странице браузер дополнительно показывает предупреждение прямо под курсором пользователя.

Дальше работает простая механика. Посетитель, который пришёл с рекламы и увидел перечёркнутый замок, в лучшем случае насторожится, в худшем — закроет вкладку. Особенно чувствительны к этому две группы: люди старше сорока, которых годами учили «проверять замочек», и корпоративные клиенты, у которых политика безопасности прямо запрещает вводить данные на незащищённых сайтах.

Отдельная категория потерь — реклама. Модерация Яндекс.Директа принимает http-сайты, но конверсия по ним ниже при том же клике, а значит, вы платите за трафик, который упирается в предупреждение браузера. Если вы считаете стоимость заявки, потери от отсутствия сертификата видно прямо в отчётах: у страниц без https выше отказы и короче время на сайте. Мы разбираем такие связки при настройке контекстной рекламы — бессмысленно оптимизировать ставки, когда посадочная встречает пользователя предупреждением.

Влияет ли SSL на позиции в поиске

Google официально объявил HTTPS лёгким сигналом ранжирования ещё в 2014 году и с тех пор позицию не менял: при прочих равных защищённая версия предпочтительнее. Яндекс отдельного бонуса за https не обещал, но корректно индексирует https-версии и считает их нормой.

Практический эффект сильнее косвенный, чем прямой:

• Скорость. Протоколы HTTP/2 и HTTP/3, которые заметно ускоряют загрузку многофайловых страниц, в браузерах работают только поверх TLS. Без сертификата вы физически не можете их включить.
• Поведенческие факторы. Предупреждение браузера увеличивает отказы, а отказы поисковые системы видят.
• Коммерческие сигналы. Для тематик с оплатой и персональными данными отсутствие шифрования выглядит как признак несерьёзного бизнеса.

Обратная сторона: неаккуратный переезд на https роняет трафик сильнее, чем помогает сам сертификат. Дубли страниц по двум протоколам, потерянные редиректы, старые адреса в sitemap — типичный набор. Поэтому переход планируется как маленький переезд сайта, с проверкой индексации после.

Юридическая сторона: когда https обязателен

Формально закон не требует «поставить SSL» такими словами. Но если сайт собирает персональные данные — а форма с именем и телефоном это уже персональные данные, — оператор обязан обеспечивать их защиту при передаче, в том числе по сетям общего пользования. На практике проверяющие и юристы читают это однозначно: канал должен быть зашифрован, а в политике обработки данных должно быть сказано, как именно.

Для приёма платежей требования жёстче: стандарт PCI DSS предписывает TLS версии 1.2 и выше, и платёжные шлюзы просто не примут интеграцию с сайта без валидного сертификата. То же касается интеграций с внешними сервисами — вебхуки CRM, обмен с 1С, подключение маркетплейсов: почти все они сегодня отказываются работать по http, и автоматизация процессов на таком сайте упирается в невозможность настроить обмен.

Сколько это стоит и что выбрать бизнесу

Бесплатный Let’s Encrypt даёт ровно то же шифрование, что платный сертификат за десятки тысяч рублей: криптография одинаковая, разница — в процедуре проверки и сроке действия. Ориентиры по рынку:

Важная поправка к старым статьям: зелёная адресная строка с названием компании, ради которой покупали EV, убрана из Chrome и Firefox ещё в 2019 году. Сейчас разницу между DV и EV рядовой посетитель не видит вообще, поэтому платить за EV имеет смысл только при прямом требовании со стороны регулятора или партнёра.