Как сделать HTTPS для сайта: сертификат, переадресация и проверка

HTTPS давно перестал быть опцией для «серьёзных» сайтов. В октябре 2026 года Google сообщил, что Chrome по умолчанию для всех пользователей спрашивает разрешение, прежде чем открыть сайт по незащищённому HTTP. А сертификаты, которые включают HTTPS, становятся всё короче: с марта 2026 года сертификат на год уже не выпускают, а к 2029 году его придётся перевыпускать каждые полтора месяца.

Разбираем, как сделать HTTPS для сайта: какой сертификат выбрать, как его установить на платформе, хостинге или своём сервере, как переехать с HTTP без потери позиций в Яндексе и Google, как проверить результат и что ещё сделать, чтобы сайт был безопасным.

Коротко: для большинства сайтов хватит бесплатного сертификата Let's Encrypt — он шифрует так же, как платный, а продлевать его должна автоматика платформы или хостинга. После установки сделайте постраничную переадресацию 301 с HTTP на HTTPS, переведите на HTTPS все ссылки на сайте и сообщите о переезде в Яндекс Вебмастере. Российский сертификат Минцифры обычному сайту не подходит как единственный: Chrome, Safari и Firefox ему не доверяют. На BITCAT сертификат включается одной кнопкой в личном кабинете, а переадресацию платформа настраивает сама.

Что такое HTTPS и SSL-сертификат

HTTPS — это обычный протокол сайта HTTP, к которому добавлено шифрование TLS. Данные между браузером и сервером — пароли, заказы, формы — шифруются, и их не может прочитать или подменить посредник: провайдер, владелец публичного Wi-Fi или злоумышленник в сети. На HTTP, напоминает Яндекс, провайдер может даже добавить на страницы свою рекламу.

Чтобы включить HTTPS, на сервер ставят сертификат — по привычке его называют «SSL-сертификатом», хотя сам протокол SSL давно устарел и запрещён, а работает его преемник TLS. Сертификат выдаёт удостоверяющий центр, и он подтверждает, что сайт действительно работает на этом домене.

Сертификаты бывают трёх видов проверки: DV — только управление доменом, OV — ещё и данные организации, EV — расширенная проверка компании. Шифруют они одинаково, а домен, по правилам отраслевого объединения CA/Browser Forum, подтверждают с одинаковой надёжностью. Особую «зелёную строку» для EV браузеры убрали ещё в 2018–2019 годах. И главное: значок защищённого соединения не означает, что сайту можно доверять, — мошеннические сайты тоже работают по HTTPS. Поэтому с 2023 года Chrome вместо замка показывает нейтральный значок настроек.

Зачем сайту HTTPS в 2026 году

• Предупреждение в Chrome. С октября 2026 года Chrome по умолчанию предупреждает перед открытием HTTP-страницы. Предупреждение появляется, даже если HTTP встречается только в цепочке переадресаций: например, сайт перекидывает с http://site.ru на http://www.site.ru и только потом на https.
• Поиск. Google по умолчанию выбирает основной версией HTTPS-страницу, если с ней всё в порядке. Яндекс пишет, что выбор защищённого протокола «может быть учтено в ранжировании». Прямого роста позиций за HTTPS не обещает ни один поисковик, но HTTP-сайт выглядит устаревшим и для людей, и для роботов.
• Онлайн-оплата. Платёжные сервисы работают по HTTPS: например, ЮKassa отправляет уведомления о платежах только на HTTPS-адрес, а Robokassa в руководстве по подключению через API называет HTTPS обязательным.
• Персональные данные. Закон о персональных данных не называет HTTPS прямо, но требования ФСТЭК к защите данных включают защиту при передаче по каналам связи — для всех уровней защищённости. Для форм на сайте HTTPS — обычный способ выполнить это требование.
• Функции браузера. Геолокация, push-уведомления и ряд других возможностей работают только на защищённых страницах.

Какой сертификат выбрать

Сертификаты становятся короче

Правила CA/Browser Forum постепенно сокращают максимальный срок сертификата: с 15 марта 2026 года — 200 дней, с 15 марта 2027 года — 100 дней, с 15 марта 2029 года — 47 дней. Let's Encrypt с 10 февраля 2027 года перейдёт со стандартных 90 дней на 64 дня, а к 2028 году — на 45 дней. Писем об окончании срока он больше не присылает. Вывод простой: продлевать сертификат вручную уже нельзя, это должна делать автоматика платформы, хостинга или сервера.

Российский сертификат Минцифры

Национальный удостоверяющий центр Минцифры выдаёт сертификаты через Госуслуги: DV — на 90 дней за один рабочий день, OV — на 365 дней за три рабочих дня, продлить их нельзя, только выпустить новый. Но сами Госуслуги предупреждают, что иностранные браузеры этому сертификату не доверяют и блокируют переход на сайт, а встроенную поддержку называют у Яндекс Браузера. Если поставить на сайт магазина только российский сертификат, посетители с Chrome, Safari или Firefox увидят ошибку на весь экран.

С 1 марта 2027 года национальный удостоверяющий центр закрепят в законе об электронной подписи. Пользоваться его сертификатами будут обязаны госорганы и госучреждения, а Правительство сможет расширить список случаев. Для сайтов обычного бизнеса на ноябрь 2026 года такой обязанности нет.

Как сделать HTTPS: три ситуации

Сайт на платформе или в конструкторе

Здесь сертификат, его продление и переадресацию берёт на себя платформа — от владельца нужно включить настройку и проверить результат. На BITCAT это делается в личном кабинете: управление сайтом → вкладка «SSL» → «Проверить сертификат» → «Установить сертификат». Условия — свой домен и тариф не ниже Standard. Сертификат Let's Encrypt устанавливается за 1–2 минуты, после чего платформа сама включает переадресацию с http на https. Технический адрес сайта на BITCAT и так работает по HTTPS. Как выбрать и подключить свой домен — в статье «Как сделать адрес сайта».

Сайт на хостинге с панелью управления

В панели большинства хостингов есть бесплатный сертификат Let's Encrypt для домена и галочка «перенаправлять на HTTPS». Домен должен указывать на этот хостинг, иначе проверка не пройдёт. Убедитесь, что автоматическое продление включено.

Свой сервер

На своём сервере ставят программу для автоматического выпуска сертификатов по протоколу ACME — Let's Encrypt советует Certbot. Она выпускает сертификат, продлевает его по расписанию и может настроить переадресацию в веб-сервере. Не закладывайте в расписание фиксированный срок: сертификаты становятся короче, и программе лучше брать время продления у самого удостоверяющего центра.

Переезд с HTTP на HTTPS без потери позиций

Для поисковиков http:// и https://, с www и без — разные адреса. Чтобы они склеились без потерь, действуйте по справкам Яндекса и Google:

1. Получите сертификат на оба имени — site.ru и www.site.ru — и проверьте, что сайт открывается по https.
2. Переведите на https:// внутренние ссылки, картинки, скрипты, стили и шрифты или замените их относительными путями. Если сайт на своей CMS, обновите и канонические адреса, ссылки в карте сайта и адрес карты в robots.txt.
3. Поставьте постраничную переадресацию 301 с каждого HTTP-адреса на такой же HTTPS-адрес. Не отправляйте всё на главную — так советует Яндекс.
4. Проверьте цепочку: http://site.ru, http://www.site.ru и https://www.site.ru должны за один шаг приводить на главный HTTPS-адрес, без промежуточного HTTP. Иначе Chrome покажет предупреждение.
5. Убедитесь, что HTTPS-версию не закрывают robots.txt и метатег noindex.
6. В Яндекс Вебмастере добавьте обе версии сайта, а на старой откройте «Индексирование → Переезд сайта» и включите «Добавить HTTPS». Регионы, указанные для сайта, задайте заново.
7. В Google Search Console добавьте HTTPS-версию. Отдельный инструмент «Изменение адреса» для перехода на HTTPS, по справке Google, не нужен.
8. Обновите ссылки, которыми управляете сами: в соцсетях, карточках на картах, рекламе, подписях писем, QR-кодах и в платёжном сервисе.
9. Не снимайте переадресацию минимум год и следите за страницами в поиске: переезд обычно занимает несколько недель.

Некоторые старые инструкции до сих пор советуют директиву Host в robots.txt или «закрыть HTTPS от Google» — это вредные советы. Директиву Host Яндекс не учитывает с 2018 года, вместо неё работает постраничная переадресация 301.

Для своего хостинга есть и следующий шаг — заголовок HSTS, который велит браузеру всегда открывать сайт по HTTPS. Включайте его постепенно, начиная с короткого срока, а вносить домен в список предзагрузки браузеров не спешите: Google сам больше не рекомендует этот шаг.

Смешанный контент: почему после переезда пропали картинки

Если HTTPS-страница загружает часть файлов по http://, это называют смешанным контентом. Картинки, видео и аудио браузер попробует сам перевести на HTTPS, и если там файла нет — его не будет на странице. Скрипты, стили, шрифты и встроенные окна по HTTP браузер блокирует: ломаются вёрстка, виджеты и формы. Найти такие ссылки можно в консоли браузера, а исправить — заменив http:// на https:// или относительный путь. Сторонние виджеты подключайте только по https.

Как проверить сертификат и HTTPS

• В браузере: нажмите на значок слева от адреса → «Подключение защищено» → «Сертификат действителен». Там видно, кому и кем он выдан и до какой даты действует.
• Вручную по четырём адресам: http и https, с www и без. Все должны приводить на один HTTPS-адрес без предупреждений.
• В строгом режиме Chrome: включите в настройках «Всегда использовать безопасные соединения» и пройдитесь по сайту.
• Онлайн-проверкой SSL Labs: она покажет срок, цепочку сертификатов и версии TLS.
• В Яндекс Вебмастере: инструмент «Проверка ответа сервера» и раздел «Диагностика». Если там нет предупреждений о сертификате, всё в порядке.

Почему браузер пишет «Не защищено»

• Сайт открыт по HTTP или на него ведёт переадресация через HTTP.
• Срок сертификата истёк — например, не сработало автоматическое продление.
• Сертификат выпущен на другое имя: скажем, на site.ru, а сайт открыли как www.site.ru.
• На странице есть смешанный контент.
• На сайте стоит только российский сертификат, а посетитель зашёл не из Яндекс Браузера.
• На компьютере посетителя сбиты дата и время.

Как сделать сайт безопасным: не только HTTPS

1. Пароли и вход: уникальные длинные пароли и двухфакторный вход для админки сайта, хостинга и регистратора домена. Аккаунт домена так же важен, как сам сайт.
2. Доступы: у каждого сотрудника и подрядчика свой вход с минимумом прав, уходящим — сразу закрыть доступ.
3. Обновления: если сайт на своей CMS, вовремя обновляйте движок, плагины и темы и удаляйте забытые модули. На платформе это делает платформа.
4. Резервные копии — регулярно и отдельно от сервера, с проверкой, что из них можно восстановиться.
5. Формы и комментарии — с защитой от спама и модерацией.
6. Компьютер, с которого управляете сайтом, — с обновлениями и антивирусом. Не входите в админку с чужих устройств.
7. Мониторинг: уведомления Яндекс Вебмастера о безопасности, срок сертификата, поиск сайтов-двойников по названию бренда.
8. Персональные данные: опубликуйте политику обработки и собирайте в формах только нужные поля.

Частые ошибки

• Сертификат установлен, а переадресации нет — сайт открывается и по HTTP, и поисковики видят два сайта.
• Переадресация всех страниц на главную вместо постраничной.
• Цепочка через HTTP: http → http://www → https — теперь это повод для предупреждения Chrome.
• Только российский сертификат на сайте для широкой аудитории.
• Ручное продление — сертификат истекает в самый неподходящий момент.
• Старые советы: директива Host, «склейка» до переадресации, закрытие HTTPS-версии в robots.txt.
• Смешанный контент, из-за которого ломаются картинки и виджеты.

Частые вопросы

Как сделать HTTPS для сайта бесплатно?

Поставьте бесплатный сертификат Let's Encrypt — через настройки платформы, панель хостинга или программу на своём сервере — и включите переадресацию с HTTP на HTTPS.

Чем платный сертификат лучше бесплатного?

Шифрование у них одинаковое. Платный OV показывает данные организации в сведениях о сертификате — это нужно редко, например по требованию партнёра. «Зелёной строки» для EV в браузерах больше нет.

Как перевести сайт с HTTP на HTTPS без потери позиций?

Сертификат на оба имени, постраничная переадресация 301, все ссылки на сайте — на https, «Переезд сайта» в Яндекс Вебмастере и переадресация минимум на год. Склейка адресов обычно занимает несколько недель.

Влияет ли HTTPS на позиции?

Яндекс пишет, что выбор защищённого протокола может быть учтён в ранжировании, Google прямого роста не обещает. Но HTTP-сайты Chrome теперь открывает только после предупреждения, а это потеря посетителей.

Нужен ли HTTPS для интернет-магазина?

Да. Без него браузер предупреждает посетителей перед входом, а платёжные сервисы работают только с HTTPS-адресами.

Нужно ли ставить российский сертификат Минцифры?

Обычному сайту бизнеса — нет: на ноябрь 2026 года закон этого не требует, а Chrome, Safari и Firefox такому сертификату не доверяют. Он нужен тем, у кого отозвали иностранный сертификат.

Почему сайт пишет «Не защищено», хотя сертификат есть?

Чаще всего из-за переадресации через HTTP, смешанного контента, истёкшего сертификата или сертификата, выпущенного на другое имя — например, без www.

Как сделать HTTPS на BITCAT?

В личном кабинете откройте управление сайтом, вкладку «SSL», и нажмите «Установить сертификат». Нужны свой домен и тариф не ниже Standard. Переадресацию с HTTP платформа включит сама.

Итог

В 2026 году HTTPS — обязательный минимум для любого сайта: без него Chrome предупреждает посетителей, а платёжные сервисы и формы работают с ограничениями. Для большинства сайтов хватит бесплатного сертификата с автоматическим продлением. Главное — правильно переехать: постраничная переадресация без промежуточного HTTP, ссылки на https, уведомление Яндекса в Вебмастере и проверка результата в браузере.

Статья актуальна на ноябрь 2026 года.