Безопасность сайта HTTPS

На что смотреть в первую очередь

Если ваш сайт открывается по адресу с http:// вместо https://, Яндекс уже относится к нему с подозрением. Буква «s» в адресе означает secure — защищённый. Для пользователя это замочек в строке браузера. Для поисковика — сигнал, что данные между сайтом и посетителем передаются в зашифрованном виде и никто их по пути не перехватит.

Хотите понять, относится ли это к вашему сайту?Проверим сайт и вернёмся с коротким планом.

Получить аудит

Яндекс официально подтвердил, что HTTPS является фактором ранжирования. На практике это значит следующее: при равных условиях сайт с сертификатом получит предпочтение перед сайтом без него. Вы не вырветесь в топ только из-за HTTPS, но без него вы гарантированно теряете позиции там, где борьба идёт ноздря в ноздрю.

За шифрование отвечает SSL-сертификат — небольшой файл на сервере, который подтверждает, что сайт действительно ваш, а не подставной. Сертификат можно получить бесплатно или купить платный. И то, и другое даёт одинаковый зелёный замочек в браузере. Разница в дополнительных проверках и гарантиях, которые для обычного бизнеса чаще всего избыточны.

Ещё один момент, который многие упускают: если на сайте есть формы — заявка, обратный звонок, подписка на рассылку, — браузеры вроде Chrome и Яндекс.Браузер прямо в поисковой выдаче могут помечать HTTP-страницы как «небезопасные». Человек видит предупреждение и уходит к конкуренту. Заявка потеряна ещё до того, как человек попал на сайт.

Практические особенности и варианты применения

Перевод сайта на HTTPS — это не просто покупка сертификата. Это техническая процедура, которая состоит из нескольких шагов, и каждый из них нужно сделать правильно.

Шаг первый — получение сертификата. Для большинства сайтов достаточно бесплатного сертификата Let's Encrypt. Он выдаётся автоматически на три месяца и продлевается так же автоматически, если хостинг это поддерживает. Платные сертификаты стоят от двух-трёх тысяч рублей в год, но для задач SEO разницы между бесплатным и платным нет никакой.

Шаг второй — настройка редиректов. Все страницы с http:// должны автоматически перенаправлять пользователя на https://-версии. Это делается на уровне сервера через файл настроек. Если редиректы не настроить, Яндекс увидит две копии каждой страницы — с HTTP и с HTTPS. Это дублирование контента, и оно напрямую вредит позициям.

Шаг третий — исправление внутренних ссылок. Все ссылки внутри сайта, картинки, скрипты, стили должны загружаться по HTTPS. Если страница защищена, а картинка на ней грузится по HTTP — это называется смешанным контентом, и браузер покажет серый замочек вместо зелёного или вообще выведет предупреждение.

Бесплатный SEO-аудит

Покажем, что мешает сайту расти

Проверим структуру, индексацию, посадочные страницы и первые точки роста. После заявки можно перейти в Telegram с уже заполненным контекстом.

Получить аудит

Шаг четвёртый — Яндекс.Вебмастер. После перевода сайта на HTTPS нужно добавить https://-версию сайта в Яндекс.Вебмастер как отдельный сайт (если её там ещё нет) и подтвердить права. Затем в настройках основного сайта указать, что главное зеркало — это HTTPS-версия. Без этого Яндекс может долго не понимать, какую версию считать основной.

Как проверить, что всё сделано верно: откройте любую страницу сайта, посмотрите на замочек в адресной строке, кликните на него — не должно быть предупреждений о незащищённых элементах. Затем наберите старый адрес с http:// — вас должно мгновенно перебросить на https:// без задержек и промежуточных страниц.

Ошибки, ограничения и что учитывать на практике

Самая частая ошибка — поставить сертификат и считать работу завершённой. На самом деле установка сертификата — это примерно треть дела. Остальное — это правильная настройка перенаправлений и чистота внутреннего контента.

Смешанный контент. Страница открывается по HTTPS, но внутри грузится форма с другого сервиса по HTTP, или картинки подтягиваются с незащищённого ресурса. Браузер ругается, замочек становится серым, Яндекс фиксирует проблему. Проверить это просто: откройте консоль браузера (F12) на вкладке Console — там будут красные ошибки, если есть смешанный контент.

Потеря ссылочного веса при переходе. Если на ваш сайт ссылались другие площадки по HTTP-адресам, после перевода на HTTPS эти ссылки могут перестать учитываться, если не настроены 301-редиректы. Правильный 301-редирект передаёт вес со старого адреса на новый, но это происходит не мгновенно, а в течение нескольких недель или месяцев.

Просроченный сертификат. Бесплатные сертификаты Let's Encrypt живут 90 дней. Если хостинг не настроил автопродление, сертификат истечёт, и посетители вместо сайта увидят страшную красную страницу «Соединение не защищено». Для бизнеса это означает полную остановку заявок на несколько дней, пока кто-то заметит и не обновит сертификат вручную.

Роботс.txt и карта сайта. Файл robots.txt и sitemap.xml должны быть доступны по HTTPS и ссылаться только на HTTPS-адреса. Если в карте сайта останутся HTTP-ссылки, Яндекс будет сканировать устаревшие адресы и получать редиректы вместо прямого доступа к страницам. Это замедляет индексацию — попадание страниц в базу Яндекса.

Что учитывать при маленьком бюджете. Перевод на HTTPS не требует больших затрат. Бесплатный сертификат, правильная настройка на хостинге, исправление ссылок внутри сайта — это работа на несколько часов для специалиста. Если подрядчик просит за «установку SSL» сумму сопоставимую с месячным продвижением — это завышенная цена за рутинную задачу.

Если вы не уверены, правильно ли настроен HTTPS на вашем сайте, это один из первых вопросов, который стоит прояснить. Неправильная настройка защиты незаметна для владельца — сайт открывается, кажется, всё нормально. Но Яндекс видит дубли, смешанный контент и редиректы, и именно из-за этого ваши страницы могут стоять ниже, чем заслуживают.