Wiki · Техническая оптимизация

Протокол HTTPS: что это и что он защищает

5 мин чтенияАвтор: Сергей ПимкинСоавторы: Евгений Баев

HTTPS (HyperText Transfer Protocol Secure) – это защищённая версия протокола HTTP, в которой данные между браузером и сайтом передаются в зашифрованном виде по протоколу TLS.

По обычному HTTP всё, что человек вводит на сайте, идёт открытым текстом: имя и телефон в форме заявки, пароль от личного кабинета, адрес доставки. Перехватить или подменить эти данные можно в общественном Wi-Fi или на любом узле по пути. HTTPS шифрует соединение и подтверждает, что браузер общается именно с вашим сервером. Chrome помечает сайты без HTTPS надписью «Не защищено» в адресной строке, и доверие падает ещё до первого клика.

Как работает HTTPS

У сайта на сервере есть сертификат: файл, в котором центр сертификации подтверждает, что домен принадлежит владельцу сервера. При подключении сервер показывает сертификат, браузер проверяет подпись и срок действия, и стороны договариваются о ключе шифрования на этот сеанс. Дальше все данные идут зашифрованными.

Пять шагов установки защищённого соединения HTTPS: запрос, сертификат сервера, проверка браузером, ключ сеанса, зашифрованный обмен — Как браузер открывает сайт по HTTPS

Сертификаты по привычке называют SSL, хотя сам протокол SSL давно устарел и отключён в браузерах. Сейчас соединение защищает TLS версий 1.2 и 1.3.

Зачем сайту HTTPS

Защита данных. Формы заявок, личный кабинет и оплата без шифрования открыты для перехвата.
Защита от подмены. Посредник не сможет незаметно вставить в страницу рекламу или вредоносный код.
Доверие. Пометка «Не защищено» отпугивает людей, особенно на страницах с формами.
Поиск. Google учитывает HTTPS как сигнал ранжирования, хоть и слабый. Яндекс считает HTTP и HTTPS версии зеркалами и сам выбирает главную, если ему не подсказать.
Скорость. Браузеры поддерживают HTTP/2 только поверх защищённого соединения, а он заметно ускоряет загрузку страниц с множеством файлов.

Какие бывают сертификаты

Тип	Что проверяет центр сертификации	Кому подходит
DV	Только право на домен	Большинству сайтов, включая магазины
OV	Домен и данные организации	Компаниям, которым важно указать юрлицо в сертификате
EV	Домен и расширенная проверка организации	Банкам и платёжным сервисам по внутренним требованиям

Шифрование у всех трёх одинаковое. Раньше браузеры выводили название компании с EV-сертификатом прямо в адресной строке, но с 2019 года это убрали, и данные видны только в свойствах сертификата. Бесплатный DV-сертификат Let's Encrypt выдаётся на короткий срок, сейчас это 90 дней, и продлевается автоматически, многие хостинги выпускают его в панели одной кнопкой. Если у сайта есть поддомены, нужен сертификат на все имена или wildcard вида *.site.ru.

Как перевести сайт на HTTPS

Выпустите сертификат и установите его на сервер. Проверьте, что он покрывает и site.ru, и www.site.ru.
Откройте сайт по https и найдите смешанный контент: картинки, скрипты и шрифты, которые всё ещё грузятся по http. Браузер блокирует их или ругается на них в консоли.
Замените адреса во внутренних ссылках, canonical, sitemap.xml и robots.txt на https.
Настройте 301 редирект с каждого http-адреса на такой же https-адрес, а не на главную.
Сообщите поисковикам. В Яндекс Вебмастере добавьте https-версию и укажите переезд в разделе «Переезд сайта», в Google Search Console проверьте, что https-версия подтверждена.

Для nginx редирект выглядит так:

server {
  listen 80;
  server_name site.ru www.site.ru;
  return 301 https://site.ru$request_uri;
}

Когда всё проверено, включите заголовок HSTS. Он заставляет браузер сразу открывать сайт по https, без захода на http. Включайте его в последнюю очередь: отменить быстро не получится, браузеры запоминают правило на срок, указанный в заголовке.

Для поисковика переход на HTTPS похож на маленький переезд: адреса всех страниц меняются. Пока Яндекс и Google склеивают версии, позиции могут немного колебаться. Если редиректы постраничные, это проходит без потерь.

Чек-лист проверки сайта после перехода на HTTPS: сертификат, 301 редирект, смешанный контент, canonical и sitemap, поддомены, автопродление — Проверка после перехода на HTTPS

Как проверить HTTPS на сайте

Нажмите на значок слева от адреса в браузере и откройте сведения о сертификате: там видно, на какие домены он выпущен, кем и до какого числа действует. Онлайн-проверка SSL Labs показывает больше: поддерживаемые версии TLS, полноту цепочки сертификатов и общую оценку настроек. Редирект проверяют командой:

curl -I http://site.ru/
HTTP/1.1 301 Moved Permanently
Location: https://site.ru/

Что ломается после перехода на HTTPS

Сертификат истёк, потому что автопродление сломалось. Браузер показывает посетителям полноэкранное предупреждение, и они уходят.
Редирект цепочкой: http://www.site.ru ведёт на https://www.site.ru, а оттуда на https://site.ru. Ведите сразу на конечный адрес.
Временный редирект 302 вместо 301. Поисковик ещё долго держит в выдаче http-адреса и ждёт, что сайт на них вернётся.
На сервер поставили сертификат без промежуточного. В одном браузере сайт открывается, в другом и у части роботов появляется ошибка.
В canonical и sitemap остались http-адреса, и поисковик получает противоречивые сигналы.

Перевести сайт на HTTPS и следить за продлением сертификата помогаем по договору технической поддержки. Настройки сервера и редиректы проверяем при техническом аудите, а защиту от взломов закрывает услуга информационная безопасность сайтов.

Сертификат, порт и позиции после перехода на HTTPS

Чем HTTPS отличается от HTTP, кроме замка в адресной строке?

Главное отличие в шифровании: по HTTP данные летят открытым текстом, а по HTTPS их закрывает TLS, и сертификат подтверждает, что ответил именно ваш сервер. Для поисковиков это ещё и два разных адреса одной страницы, поэтому при переходе нужен постраничный 301 редирект.

SSL или TLS: какой протокол на самом деле шифрует HTTPS?

Шифрует TLS. SSL был его предшественником, все его версии давно признаны небезопасными и выключены в браузерах, а слово осталось в названии сертификатов. Какие версии TLS включены на вашем сервере, покажет проверка SSL Labs.

Через какой порт по умолчанию идёт HTTPS?

По умолчанию HTTPS работает на порту 443, обычный HTTP на порту 80. Поэтому блок для редиректа в nginx слушает 80-й порт, а сайт с сертификатом настраивают на 443-м.

Зачем платить за сертификат, если Let's Encrypt бесплатный?

Ради шифрования платить незачем: у бесплатного DV-сертификата оно такое же, как у платного. Деньги берут за проверку организации: OV и EV выбирают компании, которым нужно юрлицо в сертификате, и банки по своим требованиям. Минус у Let's Encrypt один: срок 90 дней, и без исправного автопродления сайт однажды откроется с ошибкой.

Как закрыть сертификатом поддомены сайта?

Есть два пути: перечислить в сертификате все нужные имена или выпустить wildcard на *.site.ru. Wildcard покрывает поддомены только одного уровня и не включает сам site.ru, поэтому основной домен вписывают в тот же сертификат отдельно.

Что увидят посетители, если сертификат истечёт?

Вместо сайта браузер выведет предупреждение о небезопасном подключении, и дальше пройдут единицы. Чаще всего так случается, когда тихо сломалось автопродление, поэтому дату окончания полезно сверять в сведениях о сертификате, а не полагаться только на хостинг.

Как переход на HTTPS отразится на позициях в Яндексе и Google?

При постраничных 301 редиректах позиции обычно сохраняются, а небольшие колебания бывают, пока поисковики склеивают версии. Google считает HTTPS слабым плюсом в ранжировании, Яндекс видит в http- и https-версиях зеркала и после переезда в Вебмастере делает главной защищённую. По сути это маленький SEO-переезд, и готовят его так же.

От чего HTTPS не защищает сайт?

От взлома самого сайта. HTTPS бережёт данные только на пути между браузером и сервером, а дыры в CMS, слабые пароли к админке и заражённые модули закрывают отдельно, это задача информационной безопасности.

Источники

См. также: Хостинг, 301 редирект, SEO-переезд сайта, Технический аудит сайта.