SSL/HTTPS: что дает сайту и как проверить корректность

Сайт стоматологической клиники несколько лет работал без SSL-сертификата: форма онлайн-записи собирала телефон и дату рождения пациента по незащищённому соединению. После очередного обновления Chrome рядом с адресом сайта появилась пометка «Не защищено», и заявки с формы записи за месяц просели почти вдвое — пациенты видели предупреждение и закрывали вкладку, не разбираясь, что оно значит.

Что такое SSL сертификат для сайта простыми словами — цифровой файл, который подтверждает подлинность сайта и шифрует данные между браузером посетителя и сервером. Без него телефон и дата рождения из формы записи, как в примере с клиникой, передаются обычным текстом, который может перехватить кто угодно в той же сети — в кафе, аэропорту, на публичном Wi-Fi.
Шифрование строится на протоколе TLS (Transport Layer Security); название SSL сохранилось в обиходе, хотя сам одноимённый протокол давно не используется из-за уязвимостей. Сайт с сертификатом открывается по адресу с https:// вместо http://, а рядом с адресной строкой браузер показывает значок замка.

Для чего нужен сертификат SSL сайту — три конкретные причины. С 6 августа 2014 года Google использует HTTPS как сигнал ранжирования: изначально «лёгкий», влияющий менее чем на 1% запросов, но поисковик сразу предупредил, что вес сигнала может вырасти со временем.
С июля 2018 года, после выхода Chrome 68, браузер помечает «Не защищено» уже все сайты без HTTPS, а не только страницы с формами, как раньше, — именно эта пометка и обрушила заявки на сайте клиники.
Третья причина — прямая защита данных: любая форма с телефоном, email, адресом или картой без шифрования передаёт их в открытом виде.
Зачем SSL сертификат сайту без форм и оплаты: посетитель, увидевший предупреждение о незащищённом соединении, у многих сайтов просто закрывает вкладку — даже если сайт чисто информационный и ничего не собирает.

Как установить SSL сертификат на сайт — зависит от хостинга.

• Виртуальный хостинг. Как подключить SSL сертификат к сайту через панель управления: файл сертификата и приватный ключ загружаются в нужный раздел, хостинг сам привязывает их к домену.
• VPS или выделенный сервер. Как поставить SSL сертификат на сайт вручную: сертификат прописывается в конфигурации Nginx или Apache, сервер перезапускается.
• Let’s Encrypt и certbot. Как сделать SSL для сайта одной командой: утилита сама выпускает сертификат, прописывает его в конфигурации и настраивает автопродление.

После установки нужен 301-редирект со всех http:// адресов на https:// и обновление внутренних ссылок на страницах — иначе часть трафика продолжит идти на незащищённую версию, а браузер покажет предупреждение о смешанном содержимом.

Как посмотреть SSL сертификат сайта без сторонних инструментов: клик по значку замка слева от адреса показывает, кем выпущен сертификат, для какого домена и до какой даты действителен.
Как проверить SSL сертификат сайта глубже: раздел «Сведения о сайте» → «Сертификат действителен» в Chrome (или аналог в других браузерах) показывает всю цепочку доверия — от сертификата сайта до корневого центра сертификации.

Проверка SSL сайта одним браузером даёт только базовую картину. Для полной диагностики удобен SSL Labs (Qualys SSL Server Test): сервис выставляет оценку от A+ до F, проверяя не только факт наличия сертификата, но и устаревшие протоколы шифрования, слабые алгоритмы и корректность цепочки промежуточных сертификатов.
Проверка SSL сертификата на сайте такими инструментами особенно нужна после переноса сайта на новый хостинг — миграция часто ломает именно цепочку сертификатов, даже когда сам сертификат формально действителен.
У клиники из примера значок замка после установки показывал всё в порядке, но SSL Labs выявил устаревший протокол, оставшийся от прежней конфигурации хостинга, — его отключили отдельно.