SSL сертификат для сайта давно перестал быть чем-то опциональным. Браузеры прямо в адресной строке помечают HTTP-страницы как «не защищено», платёжные системы отказываются принимать данные карты без HTTPS, а поисковики учитывают шифрование при ранжировании. Реальный вопрос для владельца сайта звучит не «нужен ли сертификат», а «платный или бесплатный», и однозначного ответа тут нет, потому что зависит от того, что за сайт и кто на него заходит. Я ставлю сертификаты клиентам и на Tilda, и на WordPress, и на кастомных проектах, и разница между бесплатным и платным вариантом на практике не там, где её обычно ищут.
Зачем сайту нужен SSL сертификат
HTTPS шифрует трафик между браузером и сервером, поэтому пароль из формы входа или номер карты из формы оплаты нельзя перехватить, например через открытую wifi сеть в кафе или коворкинге. Без сертификата современные браузеры показывают предупреждение прямо в адресной строке, а на странице с формой пароля или оплаты это предупреждение становится заметнее и отпугивает часть посетителей ещё до того, как они прочитали текст на сайте.
Для интернет-магазина отсутствие сертификата не просто вопрос доверия. Эквайринг, например интеграция с Т‑Банком, требует, чтобы страница приёма оплаты и адрес, куда банк отправляет уведомление о результате оплаты, работали по HTTPS, иначе подключить приём карт технически не получится, и заявку на подключение эквайринга просто не примут на этапе проверки сайта.
Поисковики тоже учитывают HTTPS при ранжировании, хотя и как один из многих факторов, а не решающий. На практике эффект от одного включения сертификата небольшой, но его отсутствие точно не помогает, особенно если у конкурентов в выдаче он уже подключен, и разница в поведении посетителей на сайте без сертификата обычно заметнее, чем разница в позициях.
Бесплатный SSL сертификат: как работает Let’s Encrypt
Let’s Encrypt - удостоверяющий центр, который выпускает сертификаты автоматически и бесплатно по протоколу ACME. Уровень проверки у него базовый, так называемый DV, domain validation: центр проверяет, что вы управляете доменом, и всё. Сертификат выпускается за минуты, действует 90 дней, а дальше хостинг сам его продлевает по расписанию, если панель это поддерживает.
На обычном хостинге с ISPmanager, cPanel или Plesk подключение бесплатного сертификата обычно делается одной кнопкой в панели, отдельно ничего покупать не нужно. То же самое на Tilda: после подключения домена платформа сама выпускает и продлевает сертификат Let’s Encrypt для этого домена, вручную ничего настраивать не приходится, достаточно правильно указать DNS-записи у регистратора.
Для блога, лендинга, сайта-визитки или портфолио без приёма оплаты бесплатного сертификата достаточно. Шифрование там технически ничем не отличается от платного, разница только в уровне проверки личности владельца, а не в стойкости шифра, поэтому переплачивать за платный вариант ради самого факта шифрования смысла нет.
Бесплатный материал
🎁 Полезный скрипт в подарок
Подпишитесь на Telegram - пришлю готовый скрипт по этой теме.
Без спама. Отписка в 1 клик.
Платный SSL сертификат: чем отличаются OV и EV
Платные сертификаты чаще всего отличаются не технологией шифрования, а уровнем проверки при выпуске.
OV, organization validation, требует, чтобы удостоверяющий центр проверил компанию: сверил данные с реестром юридических лиц, иногда позвонил по указанному телефону. Из-за ручной проверки выпуск занимает не минуты, а один-три рабочих дня. В сертификате появляется название организации, это видно в деталях сертификата в браузере при клике на значок замка.
EV, extended validation, идёт дальше: проверяется юридическое существование компании, физический адрес, право заявителя подписывать документы от её имени. Раньше такие сертификаты давали сайту зелёную адресную строку, сейчас крупные браузеры этот визуальный индикатор убрали, и отличить EV от обычного HTTPS на глаз в адресной строке уже нельзя. Смысл в EV остался, но сместился в сторону формальной проверки для юридических и финансовых организаций, а не в сторону визуального доверия у обычного посетителя.
К платному сертификату обычно добавляется гарантия от удостоверяющего центра на случай проблем с его стороны и более быстрая техническая поддержка, чем у бесплатного варианта, где поддержки как таковой нет, есть только документация и форумы.
Бесплатный или платный сертификат безопасности: сравнение по задачам
Если свести разницу к одной таблице, получается так:
| Критерий | Let’s Encrypt, бесплатный DV | Платный OV | Платный EV |
|---|---|---|---|
| Проверка при выпуске | только владение доменом | владение доменом и данные организации | юридическое существование компании и полномочия заявителя |
| Срок выпуска | минуты, автоматически | 1-3 рабочих дня | от нескольких дней до недели |
| Срок действия | 90 дней, автопродление | обычно до года | обычно до года |
| Гарантия от удостоверяющего центра | нет | обычно есть | обычно есть, часто на большую сумму |
| Название организации в сертификате | нет | есть | есть, плюс расширенные данные |
Цена растёт в том же порядке: DV дешевле OV, а OV дешевле EV. Точные цифры я сознательно не привожу, потому что тарифы удостоверяющих центров меняются чаще, чем эта статья будет актуальна, их проще посмотреть на сайте конкретного продавца сертификатов перед покупкой, чем ориентироваться на цифры из чужой статьи.
Когда хватает бесплатного HTTPS-сертификата, а когда нужен платный
Для блога, лендинга, сайта-визитки, портфолио или некоммерческого проекта без форм оплаты я обычно ставлю бесплатный сертификат и не вижу смысла тратить деньги на платный, разницы для посетителя не будет вообще никакой.
Для интернет-магазина на WooCommerce или Tilda с приёмом оплаты картой технически чаще всего хватает того же бесплатного Let’s Encrypt, браузеры доверяют ему так же, как платному. Но в договоре на подключение эквайринга у отдельных банков и платёжных агрегаторов иногда прописано требование к сертификату с проверкой организации, это стоит уточнить в документах на подключение конкретного банка, а не считать общим правилом для всех магазинов.
Для сайтов финансовых организаций, госзаказчиков и компаний, где клиенту важно видеть данные организации прямо в сертификате при проверке, платный OV или EV оправдан репутационно и иногда прямо требуется тендерной документацией или корпоративными стандартами клиента.
Если помимо сертификата нужно настроить приём оплаты, доставку и остальную логику магазина под ключ, эту работу я обычно веду в рамках услуги интернет-магазин под ключ, и подключение сертификата там уже часть настройки, а не отдельная задача, за которую нужно отдельно доплачивать.
Установка и продление SSL: типичные ошибки
Самая частая проблема после переезда на HTTPS - смешанный контент: часть картинок, шрифтов или скриптов на странице продолжает грузиться по старому http адресу, и браузер либо блокирует такие ресурсы, либо всё равно помечает страницу как не полностью защищённую. На Tilda это обычно старые блоки с внешними скриптами, вставленными вручную через HTML-код, на WordPress - жёстко прописанные http-ссылки в виджетах или в базе данных, оставшиеся с прошлой версии сайта.
Вторая частая история - забытое продление платного сертификата. Бесплатный Let’s Encrypt хостинг обычно продлевает сам, а про платный сертификат напоминает только письмо от удостоверяющего центра, которое легко потерять в спаме. Сертификат протухает внезапно, посетители видят предупреждение о незащищённом соединении в день, когда об этом никто не думал, а магазин в это время теряет заказы.
Если сайт стоит на отдельном сервере с собственной настройкой, а не на обычном хостинге с панелью управления, продление сертификата придётся либо автоматизировать самому через планировщик задач на этом же сервере, либо платить за то, чтобы это делал кто-то ещё, включая ежемесячную оплату самого сервера, обновлений и обслуживания, которых на обычном хостинге сайта просто нет.
Ещё один момент, который часто упускают: после смены сертификата стоит проверить все внешние интеграции, которые обращаются к сайту по HTTPS, от вебхуков платёжной системы до форм, отправляющих заявки в CRM. Если на сервере одновременно висит старый и новый сертификат или в настройках указан неверный порядок цепочки сертификатов, часть внешних сервисов может перестать доверять соединению, хотя в браузере всё будет выглядеть нормально.
Частые вопросы
Нужен ли платный SSL сертификат для сайта на Tilda?
Tilda сама выпускает бесплатный сертификат Let’s Encrypt для подключённого домена и обновляет его без участия владельца сайта. Платный или EV сертификат туда не загрузить, потому что хостингом и сертификатами на этой платформе управляет сама Tilda, а не отдельный сервер с прямым доступом к файлам.
Может ли отсутствие SSL сертификата помешать принимать оплату через эквайринг?
Да. Банк или платёжный агрегатор требует, чтобы страница приёма оплаты и адрес для уведомлений о результате оплаты работали по HTTPS, иначе подключение эквайринга просто не пройдёт проверку на этапе настройки.
Как часто нужно продлевать SSL сертификат?
Бесплатный Let’s Encrypt выдаётся на 90 дней и обычно продлевается автоматически скриптом на хостинге примерно раз в 60 дней. Платные сертификаты у большинства удостоверяющих центров сейчас выпускаются максимум на год, дату продления стоит держать в отдельном напоминании, а не полагаться на письмо от удостоверяющего центра.
Влияет ли тип сертификата на позиции сайта в поиске?
Нет. Для поисковика важен сам факт работы сайта по HTTPS и корректность сертификата, а не то, платный он или бесплатный. Уровень проверки DV, OV или EV на ранжирование не влияет.