SSL-сертификат — что это, как работает и как получить его для сайта: инструкция для новичка

Что такое SSL-сертификат и зачем он нужен сайту

SSL-сертификат — это цифровой файл на сервере. Он подтверждает, что домен принадлежит владельцу, и включает шифрование между браузером и сайтом. Аббревиатура SSL расшифровывается как Secure Sockets Layer, то есть «уровень защищённых сокетов». Этот протокол устарел, и сейчас вместо него работает TLS (Transport Layer Security, «защита транспортного уровня») актуальной версии TLS 1.3, но по привычке сертификат называют SSL.

Сайт без сертификата открывается по HTTP (HyperText Transfer Protocol) через порт 80, и данные передаются открытым текстом. С сертификатом адрес начинается с https:// (HyperText Transfer Protocol Secure), соединение идёт через порт 443, а в адресной строке появляется значок замка. Пароль или номер карты в зашифрованном трафике перехватчик не прочитает.

Сертификат устанавливают на хостинг или сервер. Если сайт работает на своём сервере, обычно ставят Let’s Encrypt: этот бесплатный сертификат действует 90 дней и продлевается автоматически.

Что сертификат даёт владельцу сайта:

• доверие посетителей: Chrome и Firefox помечают сайты без HTTPS как «Не защищено»;
• защиту форм: логины, телефоны и платёжные данные передаются в зашифрованном виде;
• преимущество в поиске: Google учитывает HTTPS как фактор ранжирования с 2014 года;
• доступ к современным функциям: браузеры включают HTTP/2 и геолокацию только на сайтах с HTTPS.

Как работает SSL-сертификат при подключении к сайту

При заходе на сайт браузер и сервер обмениваются данными по протоколу TLS (Transport Layer Security) версии 1.3 — актуальной на 2026 год. Подключение начинается с TLS-рукопожатия: браузер и сервер за доли секунды договариваются, какой алгоритм шифрования использовать, и сервер предъявляет SSL-сертификат. Так обычный HTTP (Hypertext Transfer Protocol) на порту 80 превращается в защищённый HTTPS на порту 443. Подробнее о том, как устроен обмен данными в сети, читайте в статье про сетевые протоколы.

Сертификат подтверждает удостоверяющий центр CA (Certificate Authority) — организация, которая проверяет владельца домена и подписывает сертификат своим ключом. Браузер доверяет сертификату, если тот выпущен известным CA и цепочка подписей ведёт к доверенному корневому центру. Это защищает от подмены сайта и от атак «человек посередине», когда мошенник перехватывает трафик между вами и сервером.

Само шифрование строится на двух механизмах. Сначала стороны используют асимметричное шифрование с парой ключей — открытым и закрытым, чтобы безопасно согласовать общий секретный ключ. Дальше весь трафик шифруется симметричным ключом — это быстрее и подходит для передачи больших объёмов данных. Такая связка занимает менее 1 секунды и незаметна для пользователя.

По шагам установка защищённого соединения выглядит так:

• Браузер запрашивает сертификат у сервера и проверяет его подпись через удостоверяющий центр
• Стороны согласуют симметричный ключ с помощью асимметричного шифрования
• Весь трафик на порту 443 шифруется этим ключом до конца сессии

Как получить и установить SSL-сертификат: пошаговая инструкция

Получение сертификата занимает от 10 минут до одного дня, в зависимости от типа проверки. Для большинства сайтов подойдёт бесплатный автоматический выпуск через Certbot, для интернет-магазинов и корпоративных сайтов — платный сертификат с проверкой организации у удостоверяющего центра.

Перед покупкой или выпуском сертификата проверьте, что домен зарегистрирован на вас и срок его действия не истекает в ближайшие месяцы — сделать это можно через сервис проверки домена по WHOIS. Для установки сертификата понадобится root-доступ к серверу, поэтому важно заранее выбрать VPS с root-доступом, если сайт ещё не размещён.

Когда домен и сервер готовы, действуйте по шагам:

1. Выберите тип сертификата: одиночный домен, Wildcard-сертификат для поддоменов или сертификат с проверкой организации.
2. Подтвердите владение доменом — добавьте TXT-запись в DNS или файл проверки в корень сайта.
3. Подключитесь к серверу по SSH и установите Certbot командой apt install certbot python3-certbot-nginx.
4. Запустите выпуск сертификата Let’s Encrypt командой certbot --nginx -d example.ru, процесс занимает 10–15 минут.
5. Для платного сертификата сгенерируйте CSR-запрос командой openssl req -new -newkey rsa:2048 -nodes и передайте его в удостоверяющий центр.
6. Установите полученный сертификат и приватный ключ в конфигурацию веб-сервера, указав путь к файлам .crt и .key.
7. Откройте порт 443 в файрволе командой ufw allow 443/tcp и перезапустите веб-сервер.
8. Настройте редирект с HTTP (порт 80) на HTTPS через правило 301 в конфигурации сервера.
9. Проверьте результат — откройте сайт в браузере через https:// и убедитесь, что появился значок замка без предупреждений.

Виды SSL-сертификатов и сколько стоит подключение

Сертификаты различаются по глубине проверки владельца домена. DV (Domain Validation) подтверждает только права на домен и выпускается автоматически за несколько минут. OV (Organization Validation) и EV (Extended Validation) требуют проверки юридических документов компании, поэтому подходят для банков и интернет-магазинов с оплатой картами.

Отдельно стоят wildcard-сертификаты и мультидоменные варианты. Wildcard-сертификат защищает неограниченное число поддоменов одного домена одной установкой — например, сразу mail.site.ru и shop.site.ru. Мультидоменный сертификат (SAN) покрывает несколько разных доменов в одном файле, что удобно при управлении сеткой сайтов.

Главное отличие бесплатного варианта от платного — не в качестве шифрования, а в сроке действия и наборе проверок. Бесплатный сертификат Let’s Encrypt действует 90 дней и продлевается автоматически через certbot, а платные сертификаты выпускают на срок от 1 до 2 лет с ручным продлением.

Для личного блога или сайта-визитки хватит бесплатного DV-сертификата от Let’s Encrypt. Для интернет-магазина с приёмом платежей стоит рассмотреть OV, а для крупного бизнеса, где важна юридическая репутация в браузере, — EV. Установка сертификата через Let’s Encrypt на VPS занимает 10–15 минут, поэтому переплачивать за DV нет смысла — разница появляется только на уровне доверия к бренду. VPS для сайта стоит подбирать заранее, чтобы сервер потянул нагрузку вместе с шифрованием трафика.

Ошибки при настройке SSL и как их избежать

Даже при правильной установке сертификата браузер может показывать предупреждение. Чаще всего причина в мелочах: сертификат выпущен не на тот вариант домена или на сервер загружена неполная цепочка. Ниже разберём каждую ошибку по отдельности.

Первая ошибка: сертификат только на домен без www

Сертификат выпущен, например, на example.ru, а редирект ведёт на www.example.ru. Домены не совпадают, и браузер блокирует соединение.

Как решить: заказывайте сертификат сразу на оба варианта домена или используйте wildcard-сертификат, который закрывает неограниченное число поддоменов.

Вторая ошибка: неполная цепочка сертификатов

На сервер загружен только основной файл сертификата без chain.pem или fullchain.pem. Пользователь видит ошибку доверия, хотя у вас сайт может открываться нормально из-за кэша. Загружайте полную цепочку — fullchain.pem, а не только сертификат домена.

Третья ошибка: просроченный сертификат

Бесплатный сертификат Let’s Encrypt действует 90 дней, платные — от 1 до 2 лет, и без автопродления сайт однажды перестанет открываться по HTTPS. Для Let’s Encrypt обязательно включайте автопродление.

Четвёртая ошибка: смешанный контент

Mixed content появляется, когда https-страница подгружает картинки, скрипты или стили по обычному http. Браузер блокирует такие элементы или помечает страницу как небезопасную. Замените все внутренние ссылки на ресурсы с http на https.

Пятая ошибка: нет редиректа с 80 на 443

Без перенаправления сайт остаётся доступен по незащищённому адресу. Настройте редирект с порта 80 на порт 443 на уровне сервера.

Если не хочется разбираться с настройкой вручную, присмотритесь к виртуальному хостингу: на части тарифов панель сама выпускает и продлевает сертификат Let’s Encrypt.

SSL или альтернативы: сравнение бесплатных, платных и самоподписанных сертификатов

Сертификат Let's Encrypt подходит для большинства сайтов: он бесплатный, автоматически продлевается каждые 90 дней и получает такой же уровень доверия браузеров, как платный аналог. Разница между провайдерами не в качестве шифрования — протокол TLS 1.3 одинаков везде, — а в сроке действия, поддержке и дополнительных функциях вроде подтверждения организации.

Платные сертификаты от удостоверяющих центров выпускают на срок от 1 до 2 лет, что удобно, если вы не хотите настраивать автопродление. Они также предлагают расширенную проверку (юридического лица владельца домена) и Wildcard-версии, защищающие неограниченное число поддоменов одного домена. Такие варианты нужны интернет-магазинам, банковским сервисам и корпоративным сайтам, где важно юридическое подтверждение владельца.

Самоподписанный сертификат браузер не признаёт: соединение помечается как небезопасное, а посетитель видит предупреждение при заходе на сайт. Использовать его на продакшене нельзя — это отпугнёт пользователей и повредит позициям в поиске. Зато для тестового окружения, внутреннего API или локальной разработки это рабочий и бесплатный вариант, не требующий обращения к удостоверяющему центру.

Какой сертификат подходит под какой проект:

• Продакшен-сайт с расчётами и формами — Let's Encrypt или платный сертификат
• Интернет-магазин, домен с поддоменами — платный Wildcard-сертификат
• Тестовый стенд, разработка, внутренние сервисы — самоподписанный сертификат

На собственном сервере бесплатный вариант настраивается за 10–15 минут.

Каким сайтам SSL обязателен, а кому можно обойтись

Интернет-магазинам, сайтам с личным кабинетом и формами заявок на кредит или медицинские услуги сертификат нужен по закону. По 152-ФЗ «О персональных данных» оператор обязан защищать данные при передаче, а без TLS 1.3 форма с телефоном или email уходит открытым текстом. ЮKassa и Тинькофф не подключают платежи без сертификата на порту 443. Берите сертификат на 1–2 года или бесплатный от Let’s Encrypt на 90 дней с автопродлением, а для поддоменов вроде shop.site.ru и account.site.ru — wildcard.

Временно без SSL обходятся три типа проектов, которые ещё не собирают данные и не принимают платежи:

• Тестовый лендинг в разработке Пока на странице нет форм и кнопок оплаты, сертификат можно подключить позже.
• Черновик на закрытом поддомене Черновая версия сайта закрыта от индексации и не работает с данными посетителей.
• Демо-стенд для проверки макета Стенд нужен только для внутренней проверки, внешние пользователи на него не заходят.

Но даже в этих случаях Google с 2014 года учитывает HTTPS как фактор ранжирования, поэтому перед запуском в поиск сертификат лучше подключить.

Как проверить, что SSL-сертификат работает корректно

После установки сертификата не полагайтесь на «вроде работает» — проверьте это за пару минут. Самый простой способ доступен прямо в браузере: откройте сайт по адресу с https:// и нажмите на значок замка слева от адресной строки. В карточке сертификата браузер покажет домен, для которого он выпущен, срок действия и центр сертификации, который его выдал.

Второй способ — онлайн-инструмент проверки цепочки сертификатов. Он показывает всё то же самое, что и браузер, но подробнее: полную цепочку от вашего сертификата до корневого центра сертификации, поддержку протокола TLS 1.3 и наличие ошибок конфигурации, которые в браузере не всегда видны сразу.

Для тех, кто работает с VPS напрямую, есть команда openssl s_client -connect домен:443 в терминале. Она подключается к серверу по порту 443 — именно на нём работает HTTPS, в отличие от обычного порта 80 для HTTP — и выводит полную информацию о сертификате в текстовом виде.

При любой проверке смотрите на три вещи:

• срок действия — у Let’s Encrypt это 90 дней, у платных сертификатов от 1 до 2 лет
• совпадение домена в сертификате с адресом сайта, включая поддомены при wildcard-сертификате
• полноту цепочки — отсутствие промежуточных сертификатов вызывает предупреждения у части посетителей

Если что-то настроено неверно, проще поручить установку сертификата поддержке провайдера, чем разбираться с цепочкой вручную, — поэтому при выборе хостинга учитывайте уровень техподдержки.