SSL-сертификат нужен, чтобы сайт открывался по https и браузер не пугал клиентов. Сайту малого бизнеса хватает бесплатного: 30 октября мы проверили 15 своих сайтов, и все работают на бесплатных сертификатах. Опасна не цена, а забытое продление.
Бывает так: утром клиент открывает ваш сайт, а вместо него видит красный треугольник и надпись «Подключение не защищено». Разбираться он не станет, просто закроет вкладку. А вы узнаете об этом через неделю, когда кто-то из знакомых скажет, что сайт не работает.
Расскажу, как устроены сертификаты на наших сайтах и что проверить на своём.
Зачем сайту сертификат?
Чтобы данные между браузером и сайтом шли в зашифрованном виде. Если на сайте есть форма заявки, без сертификата имя и телефон клиента передаются по сети открытым текстом. А Chrome рядом с адресом такого сайта пишет «Не защищено», и человек видит это ещё до того, как прочитал первую строку.
С сертификатом адрес начинается с https, и браузер ничего лишнего не показывает. Это как замок на двери: пока он есть, его не замечают, а без него сайт выглядит заброшенным.
Сколько он стоит?
Для обычного сайта нисколько. Бесплатные сертификаты выдаёт Let’s Encrypt, некоммерческий центр сертификации, и браузеры доверяют им так же, как платным. Вот как это выглядит на наших сайтах:
| Сайт | Кто выдал | Выдан | Действует до |
|---|---|---|---|
| kalsin.ru | Let’s Encrypt | 30.09.2026 | 29.12.2026 |
| sambo-ufa.ru | Let’s Encrypt | 13.10.2026 | 11.01.2027 |
| yasnoe-nebo.ru | Let’s Encrypt | 16.10.2026 | 14.01.2027 |
| hirudoterra.ru | Let’s Encrypt | 09.09.2026 | 08.12.2026 |
| grantplan.ru | Let’s Encrypt | 21.09.2026 | 20.12.2026 |
Ещё десять наших сайтов устроены так же. Платные сертификаты с проверкой компании тоже бывают, но посетитель разницы не видит: значок в адресной строке у них один и тот же. Такой сертификат стоит покупать, только если его прямо требует банк или партнёр.
Так что, если для сайта услуг вам предлагают платный сертификат, сначала спросите, зачем он нужен.
Что видит клиент, когда сертификат истёк?
Вот такую страницу вместо вашего сайта.
Браузер прямо пишет, что злоумышленники могут похитить данные, а синяя кнопка предлагает уйти. Пройти дальше можно только через «Дополнительные настройки», а человеку, который видит ваш сайт впервые, проще вернуться к поиску. Для сайта это то же самое, что не работать вовсе.
Кто должен продлевать сертификат?
Лучше всего, чтобы никто: продление должно происходить само. Сертификат Let’s Encrypt сейчас действует 90 дней, и вручную менять его четыре раза в год неудобно и опасно.
На наших серверах сертификаты получает и продлевает сам веб-сервер, примерно за месяц до окончания. Посмотрите на hirudoterra.ru в таблице: сертификат выдан 9 сентября и действует до 8 декабря, так что в ноябре сервер сам получит новый. Мы при этом ничего не делаем.
У многих хостингов бесплатный сертификат тоже включается в панели одной кнопкой и продлевается сам. Хуже, когда платный сертификат купили и поставили вручную. С 15 марта 2026 года любой такой сертификат выдают не больше чем на 200 дней, а к 2029 году срок сократят до 47 дней. Через полгода никто не помнит, где он куплен и кто его ставил, и сайт однажды утром встречает клиентов красным треугольником.
Спросите своего подрядчика или хостинг, продлевается ли сертификат автоматически. Если ответ «да», вручную ничего делать не нужно.
Нужен ли российский сертификат Минцифры?
Для обычного сайта нет. Российским сертификатам доверяют Яндекс Браузер и устройства, где корневой сертификат Минцифры установлен вручную. Chrome и Safari без такого корневого сертификата показывают похожее предупреждение, как на снимке выше.
Мы видели это сами: ссылки на оплату из кабинета Т-Банка открываются на адресе с сертификатом Минцифры, и в обычном Chrome вместо страницы оплаты появлялось предупреждение. Подробнее про этот случай я писал в статье про приём оплаты на сайте.
Если поставить на сайт только такой сертификат, часть посетителей увидит предупреждение вместо сайта.
Сайт открывается и по http, и по https. Это плохо?
Да, если со старого адреса нет перенаправления. Тогда Яндекс видит две копии одного сайта, а часть посетителей попадает на версию без защиты. Адрес с http и адрес с www должны вести на один основной адрес с https.
Когда мы переносили сайт клуба самбо, мы проверили каждый вариант адреса: с www и без, с http и с https. Все они ведут на https://sambo-ufa.ru. Как переехать и не потерять позиции, я подробно писал в статье про перенос сайта.
Как проверить свой сайт за минуту?
Откройте сайт в браузере и нажмите на значок слева от адреса. Там написано, защищено ли подключение, а в сведениях о сертификате указано, до какого числа он действует. Потом наберите адрес с http вместо https: браузер должен сам перейти на https.
Если не хотите разбираться в меню браузера, запустите бесплатную проверку сайта. Она смотрит HTTPS вместе с политикой персональных данных, формами и cookie.
Если сайт не открылся по https, а браузер предупреждает об опасности, разбираться надо сегодня, а не в конце месяца.
Что в итоге
Красный треугольник вместо сайта появляется не из-за цены сертификата, а из-за того, что о нём забыли. Бесплатного сертификата с автоматическим продлением хватает любому сайту услуг. Остаётся раз в несколько месяцев открыть свой сайт и посмотреть на значок рядом с адресом.
Данные о сертификатах наших сайтов сняты 30 октября 2026 года. Сроки для платных сертификатов установлены решением CA/Browser Forum (голосование SC-081, апрель 2025 года), объединения центров сертификации и разработчиков браузеров.
Если некогда разбираться
На абонентке сертификат и его продление входят в плату, как и хостинг. А если сайт уже есть, закажите бесплатный разбор: заодно проверю сертификат, перенаправления и форму.
Делаю сайты с 2012 года, веду онлайн-школу «Делай Сайт». Пишу о том, что проверил на сайтах, которые делаю сам. Обо мне
