SSL-сертификат для сайта: зачем нужен, как получить, установить и проверить

Проверка SSL-сертификата сайта онлайн

Введите домен — проверка подключится к сайту по TLS и покажет, кому выдан сертификат и на какие имена (SAN), кто его выдал, срок действия и сколько дней осталось, версию TLS, доверяет ли цепочке стандартное хранилище и совпадает ли домен. Заодно проверит редирект с http на https и заголовок HSTS. Если сайт работает на сертификате НУЦ Минцифры, проверка отдельно объяснит, кто ему доверяет. Отдельная страница — проверка SSL-сертификата.

Что такое SSL-сертификат и зачем он сайту

Название историческое: протокол SSL давно заменён на TLS, но сертификаты по привычке называют SSL. Сертификат выдаёт удостоверяющий центр после проверки, что вы управляете доменом. Браузер проверяет подпись центра по своему списку доверенных корневых сертификатов и, если всё сходится, открывает сайт по HTTPS: данные между посетителем и сервером шифруются, подменить страницу по дороге нельзя.

Типы сертификатов: DV, OV и EV

Шифрование у всех типов одинаковое. Разница — в том, что проверяет удостоверяющий центр перед выдачей.

Зелёной строки с названием компании для EV-сертификатов в Chrome и Firefox нет с 2019 года — посетитель не отличит EV от DV по адресной строке. По охвату имён сертификаты бывают на один домен, на несколько (мультидоменные, имена в поле SAN) и wildcard вида *.site.ru — на все поддомены одного уровня. Учтите: wildcard на *.site.ru не покрывает сам site.ru, его добавляют в сертификат отдельным именем.

Сколько действует сертификат: сроки до 2029 года

В апреле 2025 года CA/Browser Forum — объединение удостоверяющих центров и разработчиков браузеров — принял бюллетень SC-081. Он поэтапно сокращает максимальный срок публичных TLS-сертификатов с 398 дней:

Одновременно сокращается срок, на который центр может повторно использовать проверку домена: к 2029 году — 10 дней. Платный «сертификат на год» одним файлом больше не выпустить: обычно вы покупаете период обслуживания, а сам сертификат за это время перевыпускается несколько раз.

Let's Encrypt сейчас выдаёт сертификаты на 90 дней и объявил свой график: с 13 мая 2026 года 45-дневные сертификаты доступны по желанию (профиль tlsserver), с 10 февраля 2027 года стандартный срок станет 64 дня, с 16 февраля 2028 года — 45 дней. Есть и профиль с шестидневными сертификатами. Письма об истечении срока Let's Encrypt с июня 2025 года не рассылает.

Как получить и установить бесплатный SSL-сертификат

Через панель хостинга

Самый простой путь. Почти все хостинги умеют выпускать бесплатный сертификат Let's Encrypt в разделе SSL или «Сертификаты»: выбираете домен, отмечаете вариант с www, нажимаете «Выпустить» — хостинг сам подтвердит домен, установит сертификат и будет его продлевать. Домен уже должен указывать на этот хостинг. Конструкторы сайтов обычно подключают сертификат автоматически после привязки домена.

На своём сервере: certbot и nginx

Установите certbot по инструкции для вашей системы на сайте проекта, затем выпустите сертификат на оба имени — certbot сам пропишет его в конфигурацию nginx и настроит продление:

sudo certbot --nginx -d site.ru -d www.site.ru

# проверить, что автоматическое продление сработает
sudo certbot renew --dry-run

Если настраиваете nginx вручную, минимальная конфигурация с редиректами на одну версию сайта выглядит так:

server {
    listen 80;
    server_name site.ru www.site.ru;
    return 301 https://site.ru$request_uri;
}

server {
    listen 443 ssl;
    server_name www.site.ru;
    ssl_certificate     /etc/letsencrypt/live/site.ru/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/site.ru/privkey.pem;
    return 301 https://site.ru$request_uri;
}

server {
    listen 443 ssl;
    server_name site.ru;
    ssl_certificate     /etc/letsencrypt/live/site.ru/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/site.ru/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;

    # остальная конфигурация сайта
}

Указывайте fullchain.pem, а не cert.pem: в нём и сертификат сайта, и промежуточный сертификат центра. Без промежуточного сайт может открываться в вашем браузере и не открываться у части посетителей и роботов. Wildcard-сертификат Let's Encrypt выпускает только с подтверждением через запись в DNS.

Как проверить SSL-сертификат сайта

• Онлайн — проверкой выше: срок, домены, цепочка, редирект и HSTS одним отчётом.
• В браузере — нажмите на значок слева от адреса и откройте сведения о сертификате: кем выдан, для каких имён, до какого числа действует.
• В Яндекс Вебмастере — «Проверка ответа сервера» с адресом на https: Яндекс советует проверять так установку сертификата перед переездом. Наш вариант — проверка ответа сервера для списка адресов.
• Из консоли — сроки, владелец и издатель:

openssl s_client -connect site.ru:443 -servername site.ru </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates

Проверяйте не только главную, но и версию с www, поддомены и адреса картинок и скриптов на отдельных доменах — сертификат часто забывают выпустить на одно из имён.

Переезд сайта на https без потери позиций

Порядок по справке Яндекс Вебмастера:

1. Установите сертификат и проверьте, что сайт открывается по https на всех страницах.
2. Замените ссылки на https: внутренние ссылки, адреса стилей, скриптов и картинок, адреса в sitemap.xml, строку Sitemap в robots.txt, ссылки на языковые версии. Относительные ссылки без домена тоже подходят.
3. Настройте редирект с каждой http-страницы на её https-версию — постранично, а не всё на главную. Для постоянного переезда используйте 301. Проверить можно в проверке редиректов.
4. Сообщите Яндексу: добавьте в Вебмастер обе версии сайта, откройте Индексирование → Переезд сайта, включите «Добавить HTTPS» и сохраните.

Яндекс пишет, что не гарантирует сохранения позиций и трафика при переезде, но по его данным при выполнении рекомендаций трафик не теряется. ИКС переносится на новую версию, хотя правильное значение может появиться не сразу. Google смену протокола определяет сам: добавьте https-версию в Search Console и отправьте новую карту сайта, а инструмент «Изменение адреса» для перехода на https Google использовать не советует.

После переезда главная ошибка — внутренние ссылки, canonical и карта, которые по-прежнему ведут на http и каждый раз проходят через редирект. Как это проверить и чем отличаются редирект и canonical — в статье редирект, canonical или noindex.

«Ваше подключение не защищено» и ошибка проверки сертификата

Это общее предупреждение браузера: он не смог убедиться, что сертификат подлинный и подходит сайту. Причину показывает код под текстом ошибки.

Если ошибка только у одного посетителя, а у остальных сайт открывается, причина обычно на его стороне: сбитые дата и время, антивирус или корпоративный прокси, который проверяет HTTPS-трафик, очень старая система без свежих корневых сертификатов. Ошибку проверки сертификата выдают и программы — интеграции, обмен с 1С, вебхуки, — если сервер отдаёт неполную цепочку или программа не знает корневой сертификат.

Сертификаты НУЦ Минцифры: кто им доверяет

С 2022 года Национальный удостоверяющий центр Минцифры выдаёт TLS-сертификаты российским организациям, которым международные центры отказывают в выпуске или отзывают сертификаты. Корневой сертификат — Russian Trusted Root CA.

Летом 2026 года международные центры начали отзывать сертификаты ряда российских компаний, и 23 июля 2026 года Минцифры рекомендовало пользователям установить российские сертификаты — файлы и инструкции размещены на Госуслугах. Для владельца обычного сайта вывод практический: если вы можете получить сертификат международного центра, в том числе бесплатный, используйте его — сайт откроется в любом браузере без действий со стороны посетителя. Сертификат НУЦ имеет смысл, когда другого выпустить нельзя. Тогда часть посетителей увидит предупреждение, и им стоит заранее объяснить, что делать.

Смешанное содержимое: замок есть, но не везде

Смешанное содержимое — страница открыта по https, а часть ресурсов на ней подключена по http. Браузеры поступают так:

• Картинки, аудио и видео из тегов img, audio, video браузер сам пытается загрузить по https. Если по https ресурса нет — он не покажется.
• Скрипты, стили, шрифты, iframe и запросы fetch по http блокируются. Отсюда «сломанная» вёрстка, неработающие формы и счётчики после переезда.

Найти такие ресурсы проще всего в консоли браузера (F12 → Console): там будут предупреждения Mixed Content с адресами. Исправляйте адреса в шаблонах и в базе — замените http://site.ru/ на https://site.ru/ или на относительные пути. Временная страховка — заголовок, который поднимает все запросы страницы до https:

Content-Security-Policy: upgrade-insecure-requests

HSTS: запретить браузеру http

Заголовок Strict-Transport-Security говорит браузеру: этот сайт открывай только по https, даже если ссылка или адрес введены с http. Это закрывает первый незащищённый запрос до редиректа.

add_header Strict-Transport-Security "max-age=31536000" always;

• Начните с небольшого max-age, например на сутки, и увеличьте до года, когда убедитесь, что https работает на всём сайте.
• includeSubDomains добавляйте, только если https есть на всех поддоменах, — иначе поддомен без сертификата перестанет открываться.
• Список предзагрузки HSTS требует max-age не меньше года, includeSubDomains и preload. Попасть в него просто, выйти — месяцы: подавайте заявку, только если готовы держать https на всех поддоменах всегда.

Срок сертификата, редиректы и HSTS легко сломать обновлением конфигурации. Поэтому полезно проверять их регулярно, а не один раз после настройки: СеоГард при обходе сайта по расписанию находит страницы с ошибками ответа и ссылки, которые ведут через редирект, в том числе на старые http-адреса.

Чек-лист