Переход сайта на HTTPS: SSL-сертификат без потери позиций

Коротко

Бесплатный SSL-сертификат для сайта сегодня выпускается за несколько минут: большинство хостингов делают это через панель управления на базе Let’s Encrypt, а на своём сервере сертификат получают утилитой вроде certbot. Для обычного корпоративного сайта, блога или интернет-магазина бесплатного сертификата достаточно: шифрование у него такое же, как у платного, и браузеры доверяют ему полностью.

Сложность не в самом сертификате, а в переходе всего сайта на HTTPS. Нужно настроить редиректы, исправить ссылки на картинки и скрипты, обновить адреса в CMS, карте сайта и сервисах аналитики. Если сделать это небрежно, появятся ошибки сертификата, смешанный контент, дубли страниц и временная просадка в поиске. Ниже — как выпустить сертификат, установить его и перевести сайт на HTTPS без потери позиций.

Вариант	Стоимость	Проверка	Кому подходит
Let’s Encrypt через панель хостинга	Бесплатно	Только домен (DV)	Большинство сайтов на виртуальном хостинге
Let’s Encrypt на своём сервере (certbot)	Бесплатно	Только домен (DV)	Сайты на VPS и выделенных серверах
Платный DV-сертификат	Платно	Только домен	Когда нужна поддержка продавца или долгий срок
Платный OV или EV	Платно	Домен и организация	Банки, крупные компании, требования партнёров

Основная мысль

SSL-сертификат — это десять минут работы, а переход на HTTPS — это небольшой переезд сайта: у каждой страницы меняется адрес, и поисковым системам, браузерам и всем внешним сервисам нужно явно показать, что правильная версия теперь одна — с HTTPS.

Типичная ошибка — включить сертификат и считать задачу решённой. Сайт при этом продолжает открываться и по HTTP, и по HTTPS, внутренние ссылки ведут на старые адреса, а часть картинок грузится по незащищённому протоколу. Браузер показывает предупреждение, поисковики видят две копии каждой страницы.

Правильный переход состоит из трёх частей. Первая — выпуск и установка сертификата. Вторая — приведение сайта в порядок: адреса в базе, ссылки, редирект. Третья — сообщить о переезде поисковым системам и обновить настройки сервисов. Каждая часть несложная, но пропуск любой из них даёт заметные последствия.

Бесплатный SSL-сертификат для сайта: чем он отличается от платного

Технически бесплатный сертификат Let’s Encrypt шифрует соединение так же надёжно, как платный. Разница — в уровне проверки владельца, сроке действия и сопутствующих услугах.

Типы сертификатов по уровню проверки

• DV (Domain Validation). Центр сертификации проверяет только то, что вы управляете доменом. Бесплатные сертификаты относятся именно к этому типу. Для подавляющего большинства сайтов этого достаточно.
• OV (Organization Validation). Дополнительно проверяется организация. Данные компании видны в подробностях сертификата, но обычный посетитель их почти никогда не смотрит.
• EV (Extended Validation). Самая строгая проверка. Раньше браузеры выделяли такие сайты зелёной строкой с названием компании, сейчас это отображение убрано, и визуально EV почти не отличается от DV.

Когда бесплатного сертификата недостаточно

Платный сертификат имеет смысл, если его требует банк или платёжный партнёр, если нужен wildcard-сертификат с поддержкой продавца или если по внутренним правилам компании важна проверка организации. Wildcard на все поддомены Let’s Encrypt тоже выдаёт бесплатно, но только через проверку DNS-записью, что не каждая панель хостинга умеет автоматизировать.

Главный практический минус бесплатных сертификатов — короткий срок действия, около трёх месяцев. Поэтому продление должно быть автоматическим. Максимальный срок жизни публичных сертификатов по отраслевым правилам поэтапно сокращается и для платных, так что автоматизация продления в любом случае становится обязательной.

Как получить SSL-сертификат для сайта

Способ зависит от того, где размещён сайт. На виртуальном хостинге всё делается в панели, на своём сервере — через консоль.

Как сделать сертификат сайта на виртуальном хостинге

1. Убедитесь, что домен направлен на хостинг: A-запись указывает на IP-адрес сервера, сайт открывается по HTTP.
2. Откройте в панели хостинга раздел SSL-сертификатов. У разных хостингов он называется по-разному, но почти всегда есть вариант бесплатного сертификата Let’s Encrypt.
3. Выберите домен и отметьте версию с www, если она используется или может открываться.
4. Запустите выпуск. Хостинг сам пройдёт проверку домена и установит сертификат.
5. Проверьте, что включено автоматическое продление.

Если выпуск не проходит, причина обычно в DNS: домен ещё смотрит на старый сервер, изменения не разошлись или для www нет записи.

Как выпустить SSL-сертификат для сайта на VPS

На собственном сервере с nginx или Apache стандартный инструмент — certbot. Он запрашивает сертификат у Let’s Encrypt, подтверждает владение доменом через временный файл на сайте и может сам прописать сертификат в конфигурацию веб-сервера. Для nginx команда выглядит так:

sudo certbot --nginx -d example.ru -d www.example.ru

После выпуска certbot настраивает задание на автоматическое продление. Проверить, что продление сработает, можно пробным запуском:

sudo certbot renew --dry-run

Если на сервере используется панель управления вроде ISPmanager или FastPanel, сертификат удобнее выпускать через неё: панель сама пропишет пути в конфигурацию и будет следить за продлением.

Как установить SSL-сертификат на сайт вручную

Платный сертификат или сертификат, выпущенный в другом месте, устанавливают вручную. Понадобятся три части: сам сертификат, промежуточная цепочка центра сертификации и закрытый ключ, который создавался при заказе. В панели хостинга их вставляют в соответствующие поля. В nginx указывают файл с сертификатом и цепочкой и файл ключа:

ssl_certificate     /etc/ssl/example.ru/fullchain.pem;
ssl_certificate_key /etc/ssl/example.ru/privkey.pem;

Самая частая ошибка ручной установки — забытая промежуточная цепочка. В одних браузерах сайт открывается нормально, в других и на части телефонов появляется предупреждение о ненадёжном сертификате.

Ошибка сертификата на сайте: причины и решение

Ошибка SSL-сертификата сайта означает, что браузер не может убедиться в подлинности соединения. Посетитель видит полноэкранное предупреждение, и большинство просто закрывает вкладку. Для интернет-магазина это прямая потеря заказов.

Частые причины

Симптом	Причина	Что делать
Сертификат просрочен	Не сработало автопродление	Продлить вручную, найти причину сбоя продления
Сертификат выдан на другой домен	Не включена версия с www или поддомен	Перевыпустить сертификат со всеми нужными именами
Ненадёжный издатель	Не установлена промежуточная цепочка	Установить полную цепочку
Замок перечёркнут или с предупреждением	Смешанный контент	Перевести все ресурсы на HTTPS
Ошибка только у части посетителей	Неверное время на устройстве или устаревшая система	Проверить на других устройствах, на сервере — полноту цепочки

Как быстро проверить сертификат

Нажмите на значок слева от адреса в браузере и откройте сведения о сертификате: там видны домены, на которые он выдан, и срок действия. Для более полной проверки есть онлайн-сервисы анализа SSL: они показывают цепочку, поддерживаемые протоколы и проблемы совместимости. Проверяйте обе версии адреса — с www и без.

Почему продление перестаёт работать

Автопродление ломается после переноса сайта на другой сервер, после смены DNS, при закрытии доступа к служебной папке проверки или при включении защиты, которая блокирует запросы центра сертификации. Если продление через файл перестало проходить, первым делом проверьте, открывается ли путь /.well-known/acme-challenge/ и не перенаправляется ли он куда-то правилами сайта.

Переход сайта на HTTPS пошагово

Сертификат установлен, сайт открывается по HTTPS. Теперь нужно сделать так, чтобы он открывался только так.

Шаг 1. Резервная копия

Перед любыми изменениями сделайте копию файлов и базы данных. Замена адресов в базе — операция массовая, и ошибка в ней затрагивает весь сайт.

Шаг 2. Адреса в CMS

В WordPress в разделе «Настройки → Общие» меняют «Адрес WordPress (URL)» и «Адрес сайта (URL)» на версию с https. Если эти значения заданы константами WP_HOME и WP_SITEURL в wp-config.php, менять нужно там. В 1С-Битрикс адрес сервера указывается в настройках сайта в списке сайтов и в настройках главного модуля.

Шаг 3. Замена ссылок в контенте

Внутренние ссылки и картинки в текстах часто прописаны полным адресом с http. Их заменяют поиском по базе данных. В WordPress для этого используют WP-CLI или специальный плагин, который корректно обрабатывает сериализованные данные. Простая замена SQL-запросом в таблицах с сериализованными настройками может их повредить:

wp search-replace 'http://example.ru' 'https://example.ru' --dry-run

Сначала запускают с —dry-run и смотрят, сколько замен будет сделано, затем — без него.

Шаг 4. Редирект 301

Все запросы по HTTP должны постоянным редиректом вести на ту же страницу по HTTPS. Для Apache в .htaccess:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

Для nginx — отдельный блок сервера для порта 80:

server {
    listen 80;
    server_name example.ru www.example.ru;
    return 301 https://example.ru$request_uri;
}

Если перед сайтом стоит прокси или CDN, условие по %{HTTPS} может не срабатывать, и тогда появляется бесконечный редирект. В таком случае проверяют заголовок X-Forwarded-Proto или настраивают редирект на уровне прокси.

Шаг 5. Смешанный контент

Откройте несколько типовых страниц — главную, раздел каталога, карточку, статью, форму — и посмотрите консоль разработчика в браузере. Предупреждения о mixed content укажут, какой ресурс грузится по HTTP. Обычно это картинки в старых записях, шрифты и скрипты в шаблоне, виджеты сторонних сервисов, фоновые изображения в CSS.

Шаг 6. Проверка редиректов

Каждый старый адрес должен отдавать один редирект сразу на итоговую страницу, без цепочек. Проверяйте четыре варианта главной: с www и без, по http и https. Три из них должны вести на один канонический адрес.

HTTPS и поисковые системы: как не потерять позиции

Для поисковиков версия по HTTPS — это новый адрес. Если всё сделано правильно, переход проходит спокойно, а временные колебания выравниваются.

Яндекс

В Яндекс Вебмастере добавьте HTTPS-версию сайта и подтвердите права на неё. Затем воспользуйтесь инструментом «Переезд сайта», чтобы указать, что главным зеркалом становится версия с HTTPS. Сам переезд зеркала Яндекс выполняет по 301-редиректу, а настройка в Вебмастере помогает ему быстрее это учесть. Обновите адрес сайта в счётчике Яндекс Метрики и проверьте, что цели продолжают срабатывать.

Google

В Google Search Console добавьте ресурс для HTTPS-версии или используйте доменный ресурс, который охватывает все протоколы и поддомены. Отправьте новую карту сайта и следите за отчётом об индексировании страниц.

Что ещё обновить

• Карта сайта. Все адреса в sitemap.xml — с https. В WordPress с Rank Math карта формируется автоматически после смены адреса сайта.
• robots.txt. Директива Sitemap должна указывать на HTTPS-адрес карты.
• Канонические ссылки. Тег canonical на всех страницах должен вести на HTTPS-версию.
• Микроразметка и Open Graph. Адреса логотипа, картинок и страниц — тоже с https.
• Рекламные кампании и соцсети. Ссылки в объявлениях, профилях, рассылках лучше заменить, чтобы не гонять трафик через лишний редирект.

HSTS: включать или нет

Заголовок Strict-Transport-Security заставляет браузер всегда открывать сайт по HTTPS, даже если посетитель ввёл адрес с http. Это повышает безопасность, но включать его стоит только после того, как HTTPS надёжно работает на всех поддоменах. Иначе при проблеме с сертификатом сайт станет недоступен для тех, кто уже получил заголовок, до истечения его срока. Начинают с небольшого значения max-age и увеличивают его после проверки.

Особенности WordPress и 1С-Битрикс

Базовая схема одна, но у каждой CMS есть места, про которые легко забыть.

WordPress и WooCommerce

• Ссылки внутри настроек темы, виджетов и конструкторов страниц хранятся в сериализованном виде — замену делают только инструментами, которые это учитывают.
• Кеширующие плагины после перехода нужно очистить, иначе они продолжат отдавать страницы со старыми ссылками.
• В WooCommerce проверьте адреса уведомлений платёжных систем: часть из них прописывается в личном кабинете платёжного сервиса вручную.
• Плагины, которые «исправляют» HTTPS на лету, маскируют проблему, а не решают её. Лучше один раз заменить ссылки в базе и убрать лишний слой.

1С-Битрикс

• Проверьте адрес сервера в настройках сайта и главного модуля: от него зависят ссылки в письмах и уведомлениях.
• Обновите адреса в настройках обмена с 1С, если обмен настроен на полный URL сайта. Подробности обмена разобраны в статье о настройке обмена Битрикс с 1С.
• Карту сайта в модуле поисковой оптимизации перегенерируйте после смены протокола.
• Очистите кеш сайта и управляемый кеш после замены ссылок.

Сценарии из практики

Ситуации ниже собирательные, но они хорошо показывают, где именно переход на HTTPS идёт не по плану.

Сертификат есть, а замок с предупреждением

Сайт на WordPress перевели на HTTPS через панель хостинга, адрес в настройках поменяли. Главная открывается с замком, а на страницах старых статей браузер предупреждает о небезопасном содержимом. Причина — картинки в записях, вставленные несколько лет назад полным адресом с http. После замены ссылок в базе и очистки кеша предупреждения исчезают.

Бесконечный редирект после включения HTTPS

Владелец добавил правило редиректа в .htaccess, и сайт перестал открываться с ошибкой о слишком большом числе перенаправлений. Перед сайтом стоит прокси, который сам принимает HTTPS и передаёт запрос на сервер по HTTP. Сервер видит незащищённый запрос и снова отправляет на HTTPS. Решение — проверять заголовок X-Forwarded-Proto или перенести редирект на уровень прокси.

Через три месяца сайт «сломался сам»

Сертификат выпустили вручную на стороннем сервисе и установили в панель хостинга. Автопродления у такого сертификата нет, и в один день посетители видят полноэкранное предупреждение. Решение — перевыпустить сертификат через встроенный механизм хостинга и настроить мониторинг срока действия.

Типичные ошибки и чек-лист

Большинство проблем с переходом на HTTPS — не технические сложности, а пропущенные шаги.

Что ломается чаще всего

• Редирект 302 вместо 301. Поисковики воспринимают его как временный и не спешат переносить сигналы на новый адрес.
• Цепочки редиректов. http://www → https://www → https без www. Каждое звено замедляет загрузку и размывает сигналы.
• Сайт доступен по обоим протоколам. Редирект забыли или он работает только для главной.
• Замена ссылок SQL-запросом по всей базе. Повреждённые сериализованные данные ломают настройки темы и виджеты.
• Сертификат только на домен без www. Посетители, пришедшие по старым ссылкам на www, видят ошибку.
• Никто не следит за продлением. Через три месяца сайт внезапно показывает ошибку сертификата.

Чек-лист перехода

• Резервная копия файлов и базы сделана и проверена.
• Сертификат покрывает все используемые имена, включая www.
• Автоматическое продление включено и проверено.
• Адрес сайта в CMS изменён на https.
• Ссылки в контенте и настройках заменены.
• Настроен 301-редирект всех HTTP-адресов, без цепочек.
• Смешанного контента нет на типовых страницах.
• Canonical, карта сайта и robots.txt указывают на HTTPS.
• Яндекс Вебмастер и Search Console настроены на новую версию.
• Метрика, цели, рекламные ссылки и платёжные уведомления обновлены.

Переход на HTTPS — часть базовой технической гигиены сайта. Что ещё в неё входит, разобрано в статье о техническом SEO. Если вместе с HTTPS вы меняете и хостинг, пригодится материал о переносе сайта на другой хостинг.

Частые вопросы

Где взять бесплатный SSL-сертификат для сайта?

Проще всего — в панели хостинга: почти все хостинги выпускают сертификаты Let’s Encrypt в пару кликов. На своём сервере сертификат получают через certbot или панель управления сервером.

Как получить SSL-сертификат для сайта, если хостинг его не выдаёт?

Выпустить его самостоятельно на сервере или через сервис, поддерживающий проверку по DNS, и установить вручную. Но если хостинг в 2026 году не умеет выдавать бесплатные сертификаты, это повод задуматься о смене хостинга.

Как установить SSL-сертификат на сайт на WordPress?

Сам сертификат устанавливается не в WordPress, а на сервер — через хостинг. После этого в WordPress меняют адреса сайта в общих настройках, заменяют ссылки в базе и настраивают редирект.

Что делать, если появилась ошибка сертификата на сайте?

Откройте сведения о сертификате в браузере и проверьте срок действия, домены и издателя. Чаще всего сертификат просрочен, не покрывает версию с www или установлен без промежуточной цепочки.

Почему ошибка SSL-сертификата сайта видна не у всех?

Обычно из-за неполной цепочки: одни браузеры умеют достраивать её сами, другие нет. Реже причина на стороне посетителя — неверная дата на устройстве или очень старая операционная система.

Упадут ли позиции после перехода на HTTPS?

При правильных 301-редиректах и настройке Вебмастера возможны небольшие временные колебания, которые обычно выравниваются. Серьёзные потери случаются, когда забыт редирект или сайт доступен по обоим протоколам.

Нужно ли продлевать бесплатный сертификат?

Да, срок его действия короткий. Хостинги и certbot продлевают его автоматически, но работу продления стоит проверять, особенно после переноса сайта или смены DNS.

Что такое смешанный контент?

Ситуация, когда страница открыта по HTTPS, а часть ресурсов — картинки, скрипты, шрифты — грузится по HTTP. Браузер блокирует такие ресурсы или показывает предупреждение.

Можно ли вернуться с HTTPS обратно на HTTP?

Технически можно, но смысла нет: браузеры помечают HTTP-сайты как небезопасные, а формы с персональными данными без шифрования нарушают базовые требования к их защите.

Нужен ли отдельный сертификат для поддоменов?

Либо каждый поддомен добавляют в сертификат, либо выпускают wildcard-сертификат на все поддомены сразу. Бесплатный wildcard требует подтверждения через DNS-запись.

Итог

Бесплатный сертификат Let’s Encrypt подходит почти любому сайту и выпускается за минуты. Основная работа — корректный переход: адреса в CMS, замена ссылок, один 301-редирект без цепочек, отсутствие смешанного контента и сообщение о переезде в Яндекс Вебмастер и Search Console.

Если эти шаги выполнены, сайт переходит на HTTPS спокойно, а посетители не видят предупреждений. Если какой-то пропущен, проблемы всплывают через дни и месяцы: просроченный сертификат, дубли в индексе, сломанные формы оплаты.

Если нужно перевести сайт на HTTPS, исправить ошибку сертификата или разобраться с последствиями неудачного перехода, я как частный разработчик на WordPress и 1С-Битрикс сделаю это аккуратно и с проверкой всех редиректов. Работаю напрямую, без посредников — подробности на странице доработки сайта на WordPress.