Переход сайта с HTTP на HTTPS

Онлайн-покупки и банковские операции в интернете основаны на доверии пользователей к конкретному сайту. Защищенное соединение дает важные гарантии безопасности и говорит о надежности веб-ресурса, потому переход с HTTP на HTTPS становится все более массовым. Постараемся выяснить, какие есть преимущества и недостатки у протокола нового образца, что нужно для переведения HTTPS и почему пора отказаться от ненадежного соединения.

Что такое HTTPS?

HTTPS (Hypertext Transport Protocol Secure) — протокол, благодаря которому обеспечивается конфиденциальный обмен данными между устройством пользователя и веб-ресурсом. Обеспечению безопасности способствуют криптографические протоколы SSL/TLS, которые характеризуются тремя защитными уровнями:

• шифрованием данных с целью избежания перехвата;
• сохранностью информации при помощи фиксации каждого изменения;
• аутентификацией, защищающей от вмешательства в установленный канал связи.

HTTPS является расширением HTTP, использующим современные стандарты шифрования. В новом протоколе применяется расширенный порт 443, в то время как в основном (HTTP) — порт 80.

В чем преимущества сайта на HTTPS?

Чтобы гарантировать максимальную безопасность соединения пользователя с сервером, в HTTPS задействованы сертификаты SSL и TLS. Передача информации посредством такого протокола дает следующие преимущества:

• улучшение репутации — маленький замок зеленого цвета, который появится в адресной строке, станет для большинства пользователей весомым аргументом в пользу сотрудничества с онлайн-площадкой, заботящейся о безопасности;
• повышение ранжирования — так как поисковые системы нацелены направлять юзеров на безопасные веб-ресурсы, наличие протокола HTTPS позволит повысить позиции сайта в выдачах;
• целостность информации — благодаря защищенному соединению появляется гарантия, что данные будут переданы из точки А в точку Б без редактирования или подмены;
• идентификация — SSL-сертификат подтверждает, что информация приходит в браузер из необходимого домена, а исходящие данные направляются адресату, а не третьей мошеннической стороне.

С помощью HTTPS-соединения юзеры получают уверенность, что конфиденциальные сведения не будут отслеживаться. Вся информация перед отправкой шифруется и декодируется во время получения, а также проходит проверку на целостность.

Для каких сайтов особенно важен переход на HTTPS?

Прежде всего в переходе на HTTPS должны быть заинтересованы веб-сайты, деятельность которых предусматривает передачу пользователями личных данных. Например, это интернет-магазины, почтовые сервисы, банковские сайты, онлайн-ресурсы платежных систем. Также сделать выбор в пользу защищенного протокола стоит представителям сайтов с функционалом личных кабинетов пользователей.

Все интернет-ресурсы, связанные с онлайн-платежами, вводом фамилии и имени, паспортных данных и любой другой информации, которая может использоваться злоумышленниками в корыстных целях, должны перейти на HTTPS.

Интересно, что представители Google озвучили тезис, согласно которому, по их мнению, применять HTTPS-протокол следует абсолютно всем веб-сайтам без исключений, независимо от тематики и специфики. Такую позицию аргументируют желанием компании Google ставить в качестве главного приоритета безопасность пользователей. В связи с этим руководители поисковой системы открыто заявляют, что сайты с защищенным протоколом получают бонусы в виде повышенных позиций ранжирования.

Что нужно для перехода на HTTPS?

HTTPS-соединение основано на выборе сервером и пользовательским компьютером общего секретного ключа, генерируемого для каждого отдельного сеанса. Подделка при таком уровне защиты невозможна, потому что все шифры являются уникальными и включают более ста знаков.

Чтобы перейти на HTTPS, необходимо приобрести SSL-сертификат. Этот протокол гарантирует безопасное интернет-соединение и считается уникальной цифровой подписью веб-сайта. В нем содержится информация о доменном имене, владельце, физическом расположении и сроках действия. Часто SSL-сертификат предоставляет сама компания, у которой вы арендуете хостинг.

Подготавливая сервер к обработке HTTPS-соединений, следует получить и установить сертификат SSL, условно разделенный на публичную (для шифровки трафика от пользователя к серверу в соединении) и приватную (для шифровки непосредственно на сервере трафика, который получен от клиента).

Покупка SSL-сертификатов, их виды

Итак, главным условием для перехода на HTTPS-соединение является приобретение SSL-сертификата. Для этого необходимо обратиться в центр сертификации или к посредникам. Не менее важно убедиться, что вы выбрали надежный хостинг, представители которого окажут квалифицированную поддержку, если по той или иной причине сертификат не будет работать.

Перед покупкой надо понять, какой именно вид сертификата о защищенном соединении вам подходит. В зависимости от типа проверки выделяют две следующие разновидности:

• с проверкой домена (DV-сертификаты) — являются подтверждением, что юзер находится именно на том ресурсе, переход на который хотел осуществить, но информации о собственнике веб-сайта в этом варианте нет;
• с расширенной проверкой (EV-сертификаты) — предполагают глубокую постоянную проверку информации, чтобы предотвратить подмену данных, обеспечивают максимально высокий уровень защиты.

Первая версия подойдет для онлайн-ресурсов, которые не нуждаются в серьезном заверении безопасности. Если же на сайте осуществляются денежные операции и вводятся личные данные, в интересах владельца засвидетельствовать пользователям безопасность онлайн-площадки и выбрать EV-сертификаты.

Еще одна классификация сертификатов выделена в зависимости от сертифицируемых доменов:

• Single Certificate — действует на одно доменное имя, которое было указано во время регистрации;
• Wildcard SSL — применяется не только для зарегистрированного домена, но и для всех поддоменов, также поддерживает функционирование веб-сайта на серверах;
• Unified Communications или Subject Alternative Name — используются одновременно на нескольких доменах и серверах.

Более подробно о SSL-сертификатах и их особенностях вы можете прочитать в нашей статье.

Стоит отметить, что в некоторых случаях для сохранности аутентификации могут потребоваться специфические сертификаты. Например, если на веб-ресурсе кириллическая доменная зона, придется воспользоваться сертификатами с поддержкой IDN (Internationalized Domain Name). Для национальных идентификаторов типа .укр это требование является ключевым с точки зрения обеспечения безопасности.

Какие технические настройки нужно осуществить на сайте?

Чтобы перевести интернет-ресурс на HTTPS, необходимо совершить такой алгоритм действий:

1. Получение и установка сертификата SSL — хотя возможность ручной установки никто не отменял, более простым вариантом будет настройка SSL-сертификата при помощи админ-панели хостинга. Для этого достаточно нажать кнопку «Установить» и уже через несколько часов получить на электронную почту сообщение об успешной установке.
2. Добавление сайтового домена с защищенным протоколом в Яндекс.Вебмастер — дополнительно надо убедиться, что не произошло склейки в группу зеркал с другими интернет-ресурсами. Если же подобная ситуация все-таки зафиксирована, стоит применить инструмент «Отклейка зеркал».
3. Настройка серверного 301-редиректа с небезопасных HTTP-страниц — важно удостовериться, что во всех зеркалах группы осуществляется переадресация на главное необходимое зеркало. После внесения настроек можно отправлять заявку о переезде в панели Яндекс.Вебмастера.
4. Завершение процесса склейки — процесс будет отличаться для Яндекса и Google. В первом случае успешное принятие заявки (как правило, от пары дней до пары недель) будет свидетельствовать о корректном выполнении настроек. Однако это не значит, что абсолютно все страницы старого незащищенного веб-ресурса мгновенно получат редирект. Некоторое время устаревшие исходники все-таки будут участвовать в поисковых выдачах, пока не проиндексируются аналогичные защищенные варианты.

Если же речь идет о Google, достаточно добавления защищенного веб-сайта как нового ресурса с указанием HTTPS-протокола и подтверждением прав. Поисковая система быстро регистрирует доступность новой защищенной версии, после чего начинает замену старых страниц на новые во всех выдачах.

При проведении процедуры настройки серверного 301-редиректа надо обращать внимание на несколько принципиальных моментов:

• структурное совпадение страниц сайтов незащищенного и защищенного образцов — перенаправление должно осуществляться на аналогичные по содержанию страницы (информацию о веб-страницах, которые подлежат индексации, содержит файл sitemap.xml);
• доступность большинства веб-страниц — большая часть должна отвечать кодом редиректа 301 или HTTP-200 ОК (если же многие страницы определены как недоступные по коду 404, это создаст дополнительные сложности перехода, потому нужно запретить индексирование при помощи файла robots.txt, чтобы упростить работу робота-зеркальщика);
• разрешение индексирования в файлах robots.txt обоих версий — и в HTTP-, и в HTTPS-версии должно совпадать содержимое, тогда во время проверки зеркал робот будет применять одинаковые адреса (кроме этого, важно настроить 301-редирект для перехода с robots.txt на старом веб-ресурсе на robots.txt на новом).

Когда вы действуете по инструкции, процесс перехода не должен вызвать особых сложностей. В противоположной ситуации придется обратиться за помощью к специалистам.

Возможные риски и плюсы перехода на HTTPS

Несмотря на очевидные преимущества перехода на HTTPS-соединения, процесс несет некоторые риски, которые могут негативно сказаться на работе веб-ресурса. Так, следует обратить внимание на такие нюансы:

• риск появления дублей — когда 301-редирект некорректно настроен, перенаправление осуществляется не со всех незащищенных страниц, из-за этого вес сайта может быть меньше, а в поисковых выдачах возможно дублирование;
• ошибка смешанного содержимого — когда ряд медиафайлов страницы по-прежнему грузится посредством устаревшего протокола, система выдает ошибку mixed content;
• появление множества битых ссылок — когда перелинковку внутри онлайн-ресурса делали на HTTP-адреса, возникают некорректные гиперссылки.

Отдельно стоит подчеркнуть вероятность рисков при использовании бесплатных сертификатов. Часто браузеры не доверяют подобным цифровым подписям, потому в интересах компаний, заботящихся о своей репутации, приобретать платные SSL-сертификаты у надежных поставщиков.

Однако общая тенденция сводится к переходу всех ресурсов на HTTPS. Краеугольным камнем является интернет-безопасность пользователей, поэтому не исключено, что в будущем абсолютно все веб-ресурсы перейдут на защищенный протокол. Если вы планируете создание веб-ресурса (о том, как создать сайт, можно почитать в нашей статье), следует сразу задуматься о безопасности ресурса и использовании HTTPS.

О главных преимуществах защищенного соединения мы говорили выше: это бонусы во время ранжирования, конфиденциальность и улучшение репутации среди юзеров. К тому же, большая часть проблем при переходе на защищенное соединение связана не с самим протоколом, а с некорректной реализацией процесса.