Как подключить SSL и перевести сайт на HTTPS

Подключите сертификат для нужных имён сайта, проверьте HTTPS и ресурсы страниц, затем настройте перенаправления с HTTP и автоматическое продление.

Что должно получиться

Сайт открывается по HTTPS без ошибки сертификата, изображения и скрипты загружаются по защищённым адресам, а прежние HTTP-ссылки ведут на соответствующие страницы новой версии. Настройка считается законченной после проверки рабочих сценариев и настройки автоматического продления, а не после появления файла в кабинете.

Название «SSL-сертификат» часто используют в интерфейсах и описаниях услуг, хотя современное защищённое соединение работает на TLS. Для владельца сайта практическая задача состоит из нескольких частей: получить подходящий сертификат, установить его в месте обработки соединения и согласовать настройки приложения с HTTPS.

Из чего это складывается

Начните с выяснения, управляет ли сертификатами ваша площадка. В руководстве Let’s Encrypt отдельно описаны два пути: обслуживание через хостера и самостоятельная работа с ACME-клиентом. Не запускайте вторую процедуру поверх первой без понимания, кто будет отвечать за установку и продление.

Как это сделать по шагам

1. Составьте список имён. Укажите основной домен, вариант с www и поддомены, которые действительно используются. Проверьте их DNS и место размещения. Сертификат для одного имени не следует автоматически считать подходящим для всех остальных адресов.
2. Сохраните текущую конфигурацию. Подготовьте резервную копию сайта и сведения о действующих перенаправлениях. Если HTTPS уже частично настроен, запишите, что работает сейчас. Это поможет отличить новую ошибку от прежней особенности проекта.
3. Выберите способ выпуска. При управляемом хостинге используйте предусмотренную площадкой процедуру. На собственном сервере следуйте инструкции выбранного ACME-клиента и веб-сервера. Названия разделов и доступные варианты зависят от вашей среды.
4. Подтвердите управление доменом и установите сертификат. Выполните проверку, которую поддерживает выбранный способ. Установите сертификат с необходимой цепочкой там, где принимается соединение посетителя. Закрытый ключ храните как секрет, а не как общедоступный файл сайта.
5. Проверьте прямое открытие HTTPS. Откройте нужные имена и внутренние страницы. Убедитесь, что браузер не сообщает об ошибке, содержимое правильное, а ресурсы и формы работают. До успешной проверки не считайте перенос протокола завершённым.
6. Согласуйте адреса и перенаправления. Настройте основную HTTPS-версию в приложении, исправьте собственные ссылки и задайте переходы с прежних HTTP-адресов. Сохраняйте путь к соответствующей странице и значимые параметры адреса.
7. Проверьте продление и наблюдение. Выясните, какая процедура обновляет сертификат, как он подхватывается сервером и куда поступает сообщение об ошибке. Запишите это вместе с результатами проверки сайта, чтобы настройка не зависела от памяти одного человека.

Как подтвердить управление доменом

Способ проверки зависит от выпускающего сервиса и вашей схемы размещения. Например, Let’s Encrypt поддерживает проверку через специальный ресурс на веб-сервере и через запись в DNS. Условия этих способов приведены в официальном описании проверок домена. Не переносите значения подтверждения из чужого примера.

Если проверка не проходит, установите, какую сторону видит удостоверяющий центр. DNS может вести на старое размещение, промежуточный сервис может показывать другой ответ, а правило доступа — закрывать служебный ресурс. Исправляйте конкретную причину по сообщению процедуры, а не меняйте все записи зоны подряд.

При способе через DNS изменения должны выполняться в действующей авторитетной зоне. При способе через веб-сервер нужное имя должно попадать на площадку, которая отдаёт подтверждение. Эти проверки связаны с настройкой домена, но сам факт выпуска сертификата не переносит файлы сайта и не исправляет привязку имени к проекту.

Почему сертификат установлен, а страница работает неправильно

Проверьте, для какого имени выдан сертификат и какой сертификат реально отдаёт сервер. Основной домен и www могут обрабатываться разными настройками. Если посетитель сначала попадает на HTTPS-адрес с неподходящим сертификатом, обычное перенаправление дальше не устраняет начальную ошибку соединения.

Если перед сайтом находится CDN или обратный прокси, защищённое соединение посетителя может завершаться на нём. Отдельно проверьте путь от промежуточной площадки к серверу проекта и то, как приложение определяет исходный протокол. Несогласованные настройки способны вызвать бесконечные перенаправления или генерацию неправильных ссылок.

Не пытайтесь принимать предупреждение браузера за нормальный этап запуска. Оно показывает, что проверка соединения ещё не пройдена. Сверьте имя, срок действия, цепочку и конфигурацию нужного виртуального хоста. Если сайт обслуживает провайдер, передайте ему конкретный адрес и текст ошибки.

Смешанное содержимое и внутренние адреса

Защищённая страница может содержать ссылки на изображения, стили или скрипты по HTTP. Это называют смешанным содержимым. Браузеры могут повышать протокол для части ресурсов или блокировать небезопасную загрузку. Такое поведение объясняет справка MDN о смешанном содержимом. Не рассчитывайте, что браузер автоматически починит каждую зависимость.

Проверьте шаблон, сохранённые материалы и внешние вставки. Убедитесь, что нужный ресурс действительно доступен по HTTPS, прежде чем менять его адрес. Для собственных внутренних переходов можно использовать подходящие относительные ссылки. Адрес внешнего подключаемого ресурса должен вести на рабочую защищённую версию. Простая замена начала адреса не гарантирует её существование.

Не выполняйте слепую замену по всей базе, если CMS хранит структурированные значения. Используйте совместимый с приложением способ и проверяйте результат на копии. Отдельно сверяйте canonical, карту сайта и адреса, которые формируются автоматически: они должны согласовываться с выбранной основной версией.

Перенаправления и продление

Старая ссылка на материал должна приводить к тому же материалу по HTTPS. Перенаправление всех HTTP-страниц на главную теряет назначение адреса. Проверьте прямой переход, отсутствие циклов и лишних промежуточных шагов. Для обработки смены протокола достаточно одного согласованного правила, а не противоречащих друг другу настроек в нескольких местах.

Сертификат имеет ограниченный срок действия, поэтому выпуск — не разовая задача навсегда. Даже при автоматическом продлении нужно знать, что происходит при ошибке и кто её увидит. После смены DNS, сервера или правил доступа проверьте, не перестал ли работать способ подтверждения управления доменом.

HSTS сообщает браузеру, что к имени нужно обращаться по HTTPS. Его поведение описано в документации заголовка Strict-Transport-Security. Вводите такую политику после проверки всей охватываемой схемы. Настройка для поддоменов требует уверенности, что нужные поддомены тоже поддерживают HTTPS; копировать чужую политику без проверки не стоит.

Частые ошибки

• Проверяют сертификат только для основного имени, забывая www и используемые поддомены.
• Включают перенаправление до проверки прямого HTTPS и получают цикл или недоступную страницу.
• Считают появление сертификата подтверждением исправности всех ресурсов и форм.
• Меняют протокол в базе неподходящим инструментом и повреждают настройки приложения.
• Оставляют старые адреса в canonical, карте сайта и шаблоне.
• Не проверяют автоматическое продление после переноса хостинга или изменения DNS.

Как проверить

• Каждое нужное имя открывается по HTTPS без предупреждения браузера.
• Внутренние страницы, изображения, стили и скрипты доступны.
• Формы и авторизация работают в новой схеме.
• HTTP-адреса ведут к соответствующим HTTPS-страницам без циклов.
• Автоматически формируемые адреса согласованы с основной версией.
• Продление настроено, понятен порядок контроля и исправления ошибок.

Перед подключением проверьте связь домена с хостингом и подготовьте резервную копию сайта. Если требуется настройка сервера, опишите текущую схему в разделе «Разработка» на бирже ITSNEW.

Вопросы и ответы

Нужно ли самостоятельно устанавливать ACME-клиент?

Не всегда. Хостинг может выпускать, устанавливать и продлевать сертификат за вас. Сначала уточните возможности своей площадки. Самостоятельный клиент нужен, когда вы управляете соответствующей частью сервера и понимаете порядок обслуживания.

Сертификат основного домена подходит для www?

Проверьте список имён, на которые он выдан. Не делайте вывод только по названию услуги. Вариант с www должен корректно принимать защищённое соединение, даже если затем перенаправляет посетителя на основной домен.

Почему после перехода пропали изображения?

Одна из возможных причин — старые HTTP-адреса ресурсов на HTTPS-странице. Проверьте ошибки загрузки и реальные адреса файлов. Убедитесь, что защищённая версия ресурса существует, затем исправьте ссылку в подходящем месте.

Сертификат исправляет уязвимости CMS?

Нет. Он участвует в защите соединения. Обновление приложения, контроль доступов и исправление уязвимостей остаются отдельными задачами. Рабочий HTTPS не подтверждает отсутствие ошибок в коде сайта.

Можно ли оставить обе версии сайта доступными без перехода?

Для основной версии согласуйте HTTPS-адреса и переходы со старых ссылок. Независимые дубли по разным протоколам усложняют сопровождение. Проверяйте сохранение пути страницы и работу приложения после изменения схемы.

Что проверить после продления сертификата?

Проверьте, что сервер отдаёт обновлённый сертификат для нужных имён и сайт по-прежнему работает без ошибок соединения. Успешный выпуск в отдельной программе ещё не доказывает, что новое состояние применилось на рабочей площадке.