SSL-сертификат для сайта нужен, чтобы браузер мог проверить сервер и установить защищённое соединение. Но установленный сертификат ещё не означает, что HTTPS работает везде: другой вариант домена может выдавать ошибку, продление — не запускаться, а форма — зависеть от небезопасного внешнего скрипта.
Владельцу важно проверить весь путь посетителя: от открытия адреса до отправки заявки. Ниже — порядок проверки и сведения, которые стоит запросить у хостинга или разработчика.
Что защищает HTTPS
HTTPS защищает данные при передаче между браузером и сервером: шифрует обмен, позволяет обнаруживать подмену данных и проверять, что соединение установлено с сервером нужного домена. Сертификат участвует в этой проверке, а само шифрование выполняет протокол TLS. Название «SSL-сертификат» сохранилось в обиходе, хотя SSL — предшественник TLS.
Это нужно и сайту без оплаты: посетитель читает страницы, отправляет телефон в форме, входит в личный кабинет. Защита соединения помогает сохранить эти действия от перехвата и изменения в пути.
При этом HTTPS не подтверждает честность бизнеса и качество товара. Он не заменяет защиту CMS, контроль доступов или проверку обработки заявок. Значок рядом с адресом сообщает о соединении; его вид зависит от браузера и не обязательно похож на замок.
Как проверить сертификат сайта в браузере
Начните с перечня адресов, которыми действительно пользуются посетители. Включите основной домен, вариант с префиксом www, если он доступен, и используемые поддомены: например, отдельный кабинет. Проверяйте только принадлежащие вам адреса, а не случайный набор похожих имён.
- Откройте нужный адрес по HTTPS и убедитесь, что браузер показывает ожидаемый домен и не предупреждает о соединении.
- Нажмите на элемент сведений о сайте рядом с адресной строкой. Откройте информацию о соединении и сертификате. Названия пунктов различаются в браузерах.
- Проверьте перечисленные ниже сведения. Если подробности недоступны в этом меню, передайте проверку специалисту. В настольном Chrome сертификат можно открыть и через инструменты разработчика: панель Privacy and security, раздел Security, кнопка View certificate.
- Повторите проверку для остальных используемых имён. Открытие одного основного адреса ничего не говорит о сертификате поддомена.
| Что проверить | Что должно получиться | Что передать специалисту при расхождении |
|---|---|---|
| Имя сервера, или hostname | Имя из адресной строки покрывается списком допустимых имён сертификата — SAN | Какой адрес открывали и какое имя не покрыто |
| Цепочка доверия | Браузер доверяет сертификату; сервер передаёт необходимые промежуточные сертификаты | Сообщение о недоверенном издателе или неполной цепочке |
| Период действия | Текущая дата находится между началом и окончанием действия сертификата | Даты сертификата и точное сообщение об ошибке |
| Фактическая установка | По внешнему адресу выдаётся актуальный сертификат | Что видно в браузере и чем это отличается от сведений панели хостинга |
SAN — поле сертификата со списком имён, для которых он действителен. Наличие основного домена в этом списке не означает автоматическое покрытие всех поддоменов. Если используется сертификат с wildcard, попросите специалиста подтвердить покрытие каждого нужного имени, включая основной домен.
Полноту цепочки, которую отдаёт сервер, также подтверждает специалист. Один браузер может не заметить недостающий промежуточный сертификат, если сохранил его ранее.
Проверяйте и адреса, которые только перенаправляют посетителя. При открытии такого адреса по HTTPS браузер сначала проверяет его сертификат, а уже затем получает перенаправление. Ошибку сертификата исходного имени нельзя исправить одним редиректом на основной домен.
После перенаправления сведения рядом с адресной строкой относятся к конечному домену. Проверку срока и списка имён сертификата исходного адреса поручите специалисту.
Если браузер сообщает об ошибке
Сохраните точный текст или код ошибки, адрес, время проверки, название браузера и последнее изменение сайта. Это полезнее сообщения «замок пропал».
Просроченный сертификат требует продления и установки обновлённого сертификата. Ошибка имени — проверки SAN и настройки сервера для конкретного домена. Сообщение о недоверенном издателе — проверки цепочки и источника сертификата. Новый сертификат в панели хостинга не помогает, если публичный сервер продолжает отдавать старый.
Если ошибка возникает только на одном устройстве, проверьте правильность его даты и времени. Затем сравните результат в актуальном браузере на другом устройстве и в другой доверенной сети. Это помогает отделить проблему сайта от локального устройства или сети, но не является поводом игнорировать предупреждение. Не отключайте защитное ПО и не меняйте настройки доверия ради открытия страницы.
Продление: кто отвечает и как узнает о сбое
Срок действия SSL-сертификата смотрят у конкретного установленного сертификата. Продление домена, оплата хостинга и продление сертификата — разные процессы. Не считайте оплату одного из них подтверждением остальных.
Уточните, кто управляет сертификатом: хостинг, сервис перед сайтом или программа на сервере. Если между посетителем и сервером есть CDN либо обратный прокси, сертификат для посетителя может обслуживать этот промежуточный узел. Защиту соединения от него до исходного сервера проверяют отдельно.
Попросите ответственного подтвердить четыре вещи:
- Автоматическое продление включено и запускается. Есть работающий механизм запуска, а не только установленная программа.
- Проверка права на домен проходит. После изменения DNS, переноса сайта или смены доступов она может потребовать внимания.
- Обновлённый сертификат подключается к нужному серверу. При необходимости выполняется перечитывание конфигурации; проверены все узлы, обслуживающие посетителей.
- Сбой обнаружат до окончания срока. Есть внешний контроль даты сертификата, получатель уведомлений и понятный порядок действий.
Для установки на базе Certbot специалист может выполнить тест продления командой certbot renew --dry-run. Такой тест проверяет процесс, но не заменяет контроль сертификата, который реально получает посетитель. Также нельзя считать отсутствие ошибки у обычного запуска продления доказательством выпуска нового сертификата: обновление могло ещё не требоваться.
Зафиксируйте ответственного и способ оповещения. Если эти обязанности постоянно остаются между хостингом и разработчиком, их стоит включить в договорённости о технической поддержке сайта.
Проверьте переход с HTTP на HTTPS
После настройки сертификата откройте HTTP-версию главной и нескольких вложенных страниц. Они должны перенаправлять на соответствующие HTTPS-страницы, сохраняя нужный путь и параметры. Перенаправление всех старых адресов на главную может лишить посетителя страницы, которую он искал.
Попросите разработчика подтвердить постоянное перенаправление на сервере, отсутствие циклов и лишних переходов. Обновите внутренние ссылки и адреса отправки форм так, чтобы штатная работа сразу использовала HTTPS.
После перехода проверьте вход в кабинет, отправку формы и другие важные действия. Форму следует сразу загружать и отправлять по HTTPS: перенаправление после отправки на HTTP не защищает уже переданные данные.
Дополнительная настройка HSTS сообщает браузеру, что сайт следует открывать по HTTPS. Её включает специалист после проверки доступности HTTPS; распространение правила на поддомены требует готовности этих поддоменов. Это не способ исправить просроченный сертификат.
Если проверки связаны с новым хостингом или доменом, включите сертификаты, продление и редиректы в приёмку переноса сайта. Завершение копирования файлов ещё не подтверждает исправность публичного соединения.
Смешанный контент: сертификат исправен, а страница работает не полностью
Смешанный контент, или mixed content, возникает, когда сама страница загружается по HTTPS, а часть её ресурсов запрашивается по HTTP. Источником могут быть изображения, стили, шрифты, скрипты, встроенные виджеты или обращения к внешнему сервису.
Браузер может повысить протокол части запросов до HTTPS, а другие заблокировать. Поэтому страница иногда открывается, но без нужного оформления или с неработающей функцией. Автоматическое повышение протокола не гарантирует успеха: ресурс должен быть доступен по HTTPS.
Проверяйте не только первый экран. Откройте меню, прокрутите страницу до отложенно загружаемых блоков, запустите виджет и отправьте тестовую заявку без реальных персональных данных. Некоторые ресурсы запрашиваются только после действия посетителя.
Разработчик проверяет сообщения Mixed Content в консоли и запросы в панели Network. Для каждого проблемного ресурса нужно найти место подключения: шаблон, настройку CMS, текст страницы или сторонний скрипт. Затем — заменить адрес на рабочий HTTPS, убрать ненужное подключение либо подобрать безопасную замену. Простая смена букв в адресе не поможет, если источник не поддерживает HTTPS.
Отдельно проверьте внешние ресурсы. У стороннего сервера собственный сертификат и настройки; новый сертификат вашего сайта не исправит его ошибки. Также важно убедиться, что внешний HTTPS-запрос не перенаправляется на HTTP. Попросите специалиста зафиксировать, какой ресурс мешает работе и кому доступно его исправление.
Что считать завершённой проверкой
Результат — подтверждение по всем используемым адресам и важным действиям, а не только скриншот главной страницы:
- браузер принимает сертификат для каждого нужного имени, срок актуален, цепочка доверия корректна;
- автоматическое продление проверено, обновление применяется, уведомления получает ответственный;
- HTTP-адреса ведут на нужные HTTPS-страницы без циклов;
- внутренние и внешние ресурсы работают по защищённому соединению;
- кабинет, формы и виджеты прошли проверку после изменений.
Учебный пример: главная открывается по HTTPS без ошибок, но форма не отправляется из-за заблокированного HTTP-скрипта виджета. Установка ещё одного сертификата на основной домен не решит эту задачу. Нужно исправить подключение ресурса и повторно проверить отправку формы.
Сохраните перечень проверенных адресов, дату, найденные проблемы и подтверждение исправлений. Он пригодится после следующего переноса, изменения DNS или обновления внешнего виджета.
