SSL-сертификат для сайта: зачем он и что будет без него

«Не защищено» в адресной строке означает одно: браузер не смог подтвердить, что данные между посетителем и сайтом шифруются и что сайт принадлежит тому, за кого себя выдаёт. Лечится это не настройкой браузера, а сертификатом на стороне сайта — и первым делом надо понять, на своём сайте вы видите эту надпись или на чужом, потому что дальше пути расходятся полностью.

Второе, что стоит знать сразу: HTTPS давно перестал быть опцией. По обследованию W3Techs за сентябрь 2026 года защищённый протокол по умолчанию используют 90,1 % всех сайтов. Сайт без замка в 2026 году читается не как экономный, а как заброшенный.

01Что я проверил и чего не оказалось ни у кого

Я разобрал 13 страниц, которые отвечают в рунете на запрос «сайт не защищен» и «ssl сертификат для сайта»: базы знаний Рег.ру, Timeweb, IHC и RUWEB, ответы Тильды, статьи Skillbox, Хабра, Megagroup и Rush Analytics, журнал Яндекс Образования, справки Chrome и Яндекс Браузера. Каждую страницу скачал и обмерил сам: заголовки вытащил из кода дословно, объём посчитал по тексту. Позиции в выдаче Яндекса я не проверял — поиск отдаёт капчу на автоматические запросы, поэтому это разбор того, кто и как пишет по теме, а не замер топа. Так честнее.

Результат оказался неожиданно однообразным.

Ни одной цены в рублях. Ни один материал — включая хостеров, которые сами продают сертификаты, — не поставил на страницу цифру «DV столько, OV столько». Ни одной HTML-таблицы на все 13 страниц: сравнение типов сертификатов везде идёт списком или абзацем. Ни слова про то, что с марта 2026 года сертификаты живут максимум 200 дней вместо 398, — а это главное, что в этом году ломает привычку «купил на год и забыл». Никто не дал юридический ответ на вопрос, который предприниматель задаёт первым: обязателен ли HTTPS по закону. И ни у кого нет развилки «я вижу это на своём сайте» против «я вижу это на чужом» — страницы делятся на «чиним компьютер посетителя» и «что такое SSL вообще», а между этими двумя жанрами читатель остаётся один.

Дальше — то, чего в этих тринадцати страницах не было.

02Развилка: чей это сайт

Половина бесполезных советов в этой теме возникает из-за того, что человек чинит не ту сторону.

Если предупреждение видно на вашем сайте — чинить надо сайт, и только сайт. Ни очистка кеша, ни перевод часов, ни отключение антивируса ничего не изменят: у посетителей всё останется как было. Причина всегда в одном из трёх: сертификата нет вовсе, он истёк, или он есть, но выдан не на тот адрес.

Если предупреждение видно на чужом сайте — с вашей стороны чинится ровно одна вещь: дата и время на устройстве. Формулировка Яндекса про код ERR_CERT_DATE_INVALID прямая: «Срок действия сертификата истек или еще не наступил. Обычно ошибка появляется, если на вашем устройстве установлены неправильные дата и время». Всё остальное — на стороне владельца сайта.

И есть третий случай, который путают с первыми двумя: сертификат выпущен программой на вашем же компьютере. Справка Яндекс Браузера описывает его так: «Сертификат выпущен специальной программой (например, антивирусом, блокировщиком рекламы или программой для мониторинга сети). Такие программы создают собственный корневой сертификат и устанавливают его в систему как доверенный, чтобы расшифровывать и проверять ваш трафик. Браузер не может отличить доверенный сертификат от вредоносного, потому что оба ведут себя одинаково». Проверяется это за минуту: откройте тот же адрес с телефона по мобильному интернету. Там всё в порядке — дело в программе на компьютере.

03Коды ошибок: что означает каждый и кто его чинит

Единственная страница из тринадцати, где коды ошибок разобраны подробно, — справка Яндекс Браузера. Но она написана для посетителя и не отвечает на вопрос, который важен владельцу: что именно надо исправить. Эту таблицу я собрал сам: формулировки — дословно из справки, третья колонка — вывод.

Из этой таблицы видно то, чего нет ни в одной статье по теме: пять из шести кодов чинятся исключительно на сервере. Посетитель, которому советуют почистить кеш, в пяти случаях из шести тратит время зря.

Если сертификата нет совсем, кода ошибки не будет вовсе — будет просто статус соединения. Справка Яндекс Браузера описывает его так: «Используется незащищенный протокол HTTP. Страница может быть опасна для ваших данных… На таких сайтах не стоит вводить личную информацию (особенно платежные данные), так как ее легко могут украсть злоумышленники». В Chrome это называется «Подключение не защищено» и означает, что «посторонние могут видеть или изменять информацию, которой вы обмениваетесь».

04Что именно браузер делает с вашей формой заявки

Это самая практическая часть, и её нет ни на одной из тринадцати страниц.

Chromium описывает свой замысел без обиняков: «We intend to mark all HTTP pages as affirmatively non-secure in the long term». Шаги были такие: с января 2017 года помечаются страницы с полем пароля и с полями банковской карты, с октября 2017 — режим инкогнито и любое взаимодействие пользователя с полем ввода, с июля 2018 — все HTTP-страницы без исключения, а с октября 2018 надпись «Not Secure» становится красной в момент, когда человек начинает печатать.

Перевод на язык владельца лендинга: человек дошёл до формы, поставил курсор в поле «Телефон» — и ровно в этот момент рядом с адресом краснеет предупреждение. Это происходит на самом дорогом шаге воронки, за который вы уже заплатили в Директе.

И отдельная ловушка, про которую стоит знать, если форму на сайт вставляли сторонним сервисом. Документация Chrome для разработчиков прямо предупреждает: HTTPS-iframe с формой, положенный на HTTP-страницу, предупреждение не снимает — верхнеуровневая страница сама должна работать по HTTPS. То есть «у нас форма от внешнего сервиса, там всё защищено» не работает.

05Что такое сертификат и какие бывают типы

Сертификат — это подтверждение от третьей стороны, что ключи шифрования действительно принадлежат владельцу сайта. Справка Яндекс Браузера формулирует роль так: «Для защиты от фишинга сайты используют цифровые сертификаты, выданные специальными удостоверяющими центрами. Сертификат гарантирует, что ключи действительно принадлежат владельцу сайта».

Типов три, и различаются они не силой шифрования, а глубиной проверки того, кто просит сертификат. Шифрование во всех трёх одинаковое. Таблица ниже — из справки Яндекс Вебмастера, формулировки дословные.

Справка Рег.ру уточняет, что проверяется в каждом случае: у DV — «только право владения доменом», у OV дополнительно «организация: её юридическое и физическое существование», у EV — «не только существование организации, но и её законная деятельность».

Практический вывод короткий. Обычному сайту услуг с формой заявки достаточно DV. OV и EV нужны там, где посетитель должен видеть проверенное юрлицо: банки, платёжные сервисы, крупные интернет-магазины. Косвенное доказательство — у Timeweb на странице SSL нет ни одного OV или EV, только DV: массовому клиенту их просто не продают в один клик.

06Бесплатный или платный: цифры, которые видно

Бесплатный сертификат в 2026 году — не полумера, а норма интернета. По данным W3Techs Let's Encrypt выступает удостоверяющим центром для 67,4 % сайтов, чей центр известен, и для 64,2 % всех сайтов. В письме за 29 декабря 2025 года Let's Encrypt сообщает: «over the past year we went from serving 492 million websites to 762 million» и «Today, in many parts of the world, over 95 % of all page loads are encrypted».

Ограничения бесплатного сертификата надо знать точно, и они ровно два. Первое: только DV. В FAQ сказано прямо — «We do not offer Organization Validation (OV) or Extended Validation (EV)… We have no plans to issue OV or EV certificates». Второе: wildcard возможен, но «Wildcard issuance must use the DNS-01 challenge», то есть подтверждать владение придётся записью в DNS, а не файлом на сервере.

Что касается платных цен, я нашёл ровно одного российского провайдера, у которого цифры действительно стоят на странице и читаются: Timeweb. Страницы тарифов Рег.ру, nic.ru и Sprinthost закрыты от автоматического чтения, и цифры, которые ходят по обзорам, я первоисточником не подтвердил — поэтому их здесь нет.

Бесплатные варианты есть и у остальных, но с оговорками, которые стоит прочитать до выбора хостинга. Beget пишет на своей странице: «Мы считаем, что каждый сайт должен работать через SSL», и даёт бесплатный Let's Encrypt в двух вариантах — стандартный «защитит не только домен, но и до 39 поддоменов» и wildcard для динамического числа поддоменов. У Рег.ру бесплатный сертификат — это DomainSSL, и справка оговаривает срок и однократность: «Бесплатный SSL подключается на 6 месяцев» и «Получить бесплатно SSL-сертификат для каждого домена можно только один раз», дальше продление платное. Разница в 3 000 ₽ за сертификат на фоне остальных строк невелика, но она из той же категории, что домен и хостинг: полезно понимать, какие обязательные платежи набегают за год владения сайтом помимо самой разработки, чтобы не удивляться счёту на втором году.

07Главное изменение 2026 года: сертификат живёт 200 дней, а к 2029-му будет 47

Этого нет ни в одной из тринадцати страниц, а меняет это привычку целиком.

CA/Browser Forum — организация, где удостоверяющие центры и производители браузеров договариваются о правилах, — в апреле 2025 года принял бюллетень SC-081v3. Голосование прошло с 4 по 11 апреля, «25 YES votes from Certificate Issuers», и решение описано как поэтапное сокращение максимального срока действия «from 398 days to 47 days». Расписание этапов публикует удостоверяющий центр DigiCert:

У Let's Encrypt срок и так короткий: «Our default certificates are valid for 90 days», есть и вариант на шесть дней, а обновлять рекомендуется «90 day certificates every 60 days and six day certificates every three days».

Вывод из этой таблицы один, и он про организацию работы, а не про технику. Ручное продление сертификата умирает. Раньше можно было купить на год, поставить напоминание в календарь и забыть; с 2029 года это будет восемь продлений в год. Значит, при выборе хостинга или платформы вопрос «умеет ли она обновлять сертификат сама» становится важнее цены сертификата. И значит, у любого истёкшего сертификата теперь одна причина — автообновление не настроено. Если сайт вам делает подрядчик, впишите этот пункт в список того, что вы проверяете при приёмке работы, рядом с передачей доступов и обязательными документами: настроенное автообновление проверяется одной строкой в панели, а забытое обнаруживается через полгода упавшим сайтом.

08Как включается HTTPS: три разных пути

На Тильде это делается кнопкой, но с подготовкой. Справка называет раздел «Подготовка к установке бесплатного SSL-сертификата» и требует четырёх шагов: подключить свой домен, отключить переадресации с http на https и с www на без-www, если они были включены, отключить схему https и www в robots.txt и проверить, не включён ли DNSSEC у регистратора — если включён, отключить. Дальше «Подождите 24 часа, чтобы все DNS-серверы обновили информацию о новом IP», затем Настройки сайта → SEO → Настройка HTTPS, и «Подождите 5−30 минут». Готово, когда появится статус «Защищенный протокол для сайта подключен».

И одна оговорка Тильды, которую надо прочитать до того, как вы планируете уезжать с платформы: «Сертификат работает только для сайтов, расположенных на Тильде. После экспорта проекта SSL-сертификат не будет работать, его нужно подключать на стороне своего сервера». Это ровно тот класс ограничений, из-за которых стоит заранее понимать, что Тильда не умеет и на чём проекты с неё уезжают, — сертификат сам по себе мелочь, но он попадает в тот же список, что экспорт и права на код.

На обычном хостинге путь другой: бесплатный Let's Encrypt включается в панели управления и там же настраивается автообновление. Проверьте именно автообновление — это то, что через 200 дней определит, работает ваш сайт или показывает предупреждение.

На своём сервере всё делается руками через ACME-клиент, и здесь отдельно важно поставить промежуточный сертификат: пропущенное звено цепочки даёт ERR_SSL_PINNED_KEY_NOT_IN_CERT_CHAIN, который, как честно пишет справка, со стороны посетителя не лечится. Если вы сейчас выбираете между конструктором и своим хостингом, сертификат — один из аргументов среди прочих, и его разумно взвешивать вместе с остальными: там, где я сравнивал, чем Тильда и WordPress отличаются по годовому счёту и по объёму собственной работы, сертификат оказался одной из самых мелких строк, а вот обслуживание сервера своими руками — одной из самых крупных.

Если переезд на HTTPS уже нужен, а делать его некому, я беру перевод сайта на HTTPS вместе с правкой смешанного контента и настройкой постоянных редиректов, потому что именно на этих двух шагах чаще всего теряется часть страниц из индекса.

Разберём именно
ваш сайт бесплатно

Посмотрю страницу и рекламу, найду,
где теряются заявки, и пришлю план,
что поменять.

Что входит в разбор

• 1
  Где теряются заявкипуть от объявления до формы
• 2
  Что поправить на сайтепервый экран, оффер, формы
• 3
  Что поменять в рекламезапросы, объявления, бюджет

Михаил Лапошинразберу ваш проект лично

Ваше имяТелефонСайт

TelegramWhatsAppЗвонок

Согласен на обработку данных и политику конфиденциальностиПолучить бесплатный разбор

✓ Заявка принята — отвечу в течение часа

09Смешанный контент: почему замок то появляется, то исчезает

Частый случай: сертификат установлен, а замок показывается не на всех страницах. Это смешанный контент — HTTPS-страница подтягивает что-то по HTTP.

Яндекс объясняет последствия по-русски: «Если на сайте, который работает по протоколу HTTPS, есть HTTP-ссылки на внутренние страницы или файлы, то браузеры, роботы поисковых систем и других сервисов перестают считать сайт безопасным. Уведомление об этом может показываться посетителю сайта». Переписать, по списку из той же справки, надо ссылки на внутренние страницы, на файлы стилей, скриптов и изображений, ссылки в Sitemap, ссылку на Sitemap в robots.txt и альтернативные ссылки на языковые версии.

Важно понимать, что именно сломается, а MDN это описывает точно. Картинки, видео и аудио браузер сам поднимает до HTTPS — это категория upgradable. Всё остальное просто блокируется: скрипты, файлы стилей, iframe, запросы fetch и XMLHttpRequest, веб-шрифты, значения url() в CSS. Поэтому на практике одна картинка по HTTP снимет замок, а один скрипт по HTTP сломает слайдер, вёрстку или отправку формы.

И отдельное последствие для учёта рекламы, о котором не пишут почти нигде. Справка Яндекса предупреждает: «Если на сайте есть ссылки или рекламные блоки, которые ведут на использующие протокол HTTP ресурсы, то системы веб-аналитики могут не посчитать ваш сайт источником переходов».

10Влияет ли HTTPS на позиции в Яндексе

Официальная формулировка есть, и она аккуратная. Справка Яндекс Вебмастера на вопрос «Влияет ли протокол HTTPS на ранжирование?» отвечает так: «Безопасность — важный атрибут качества для пользователя, а один из признаков безопасного сайта — использование протокола HTTPS. Выбирая защищенный протокол, владелец сайта заботится о безопасности пользовательских данных, и это может быть учтено в ранжировании».

Слово «может» здесь стоит не случайно, и приписывать Яндексу больше, чем он сказал, я не буду. HTTPS — не рычаг для роста позиций. Но переезд не стоит и трафика: «Проведенные Яндексом исследования показывают, что при соблюдении описанных выше рекомендаций трафик на сайт при переезде на HTTPS не теряется», и ИКС при переезде переносится, хотя «правильное значения ИКС может отобразиться не мгновенно».

Порядок переезда в справке описан двумя обязательными шагами: поставить на сервере постоянный или временный редирект «со страниц старого адреса сайта на аналогичные страницы нового адреса» и включить в Вебмастере на странице Индексирование → Переезд сайта опцию «Добавить HTTPS».

11Обязателен ли HTTPS по закону: прямого требования нет

Здесь придётся сказать неудобное, потому что в интернете это утверждают уверенно и без ссылок.

Я проверил три документа. В статье 19 закона 152-ФЗ перечислены девять групп мер защиты персональных данных — от определения угроз до регистрации обращений, — и слов «шифрование», «HTTPS», «SSL» или «TLS» там нет. В требованиях постановления Правительства № 1119 от 1 ноября 2012 года нет абзаца, который требовал бы шифровать канал передачи: речь о режиме помещений, сохранности носителей, перечне допущенных лиц и средствах защиты, прошедших оценку соответствия.

Ближе всех — приказ ФСТЭК № 21 от 18 февраля 2013 года, мера ЗИС.3, обязательная для всех четырёх уровней защищённости: «Обеспечение защиты персональных данных от раскрытия, модификации и навязывания (ввода ложной информации) при ее передаче (подготовке к передаче) по каналам связи, имеющим выход за пределы контролируемой зоны, в том числе беспроводным каналам связи». Но и здесь технология не названа, а сам приказ оговаривает, что меры, связанные с применением криптографических средств защиты, он не рассматривает.

Итог формулирую честно. Нормы «сайт обязан работать по HTTPS» не существует. Есть общая обязанность оператора принимать технические меры защиты и требование ФСТЭК защитить данные при передаче за пределы контролируемой зоны; интернет-канал от посетителя до вашего сервера — это как раз за её пределами, и TLS — стандартный способ это требование выполнить. Но это вывод, а не буква закона. Обязательным для сайта с формой заявки является другое — документы, и в том числе то, что именно сайт публикует, прежде чем принимать данные посетителей, проверяется куда чаще, чем протокол.

12Российские сертификаты: когда предупреждение видно только в одном браузере

Последний сценарий, который в разборе встретился всего дважды и ни разу не был связан с предыдущими.

Если ваш сайт открывается нормально в Яндекс Браузере, но выдаёт ERR_CERT_AUTHORITY_INVALID в Chrome, скорее всего, на нём сертификат российского Национального удостоверяющего центра. Технически он исправен, но его корневой сертификат не входит в набор доверенных у зарубежных браузеров, и для них он «не является доверенным».

Справка Яндекс Вебмастера описывает получение такого сертификата: «Сертификат Национального центра сертификации можно получить на портале Госуслуги, если был отозван сертификат безопасности международного центра. При выдаче документа обязательно будет проверена связь получателя с сайтом, а само название ресурса будет опубликовано в публичном логе». В самом Вебмастере есть инструмент «Проверка наличия сертификата НУЦ».

Практическое правило: сертификат НУЦ имеет смысл там, где аудитория сидит в Яндекс Браузере и российские браузеры для неё норма, — и не имеет там, где посетители приходят из Chrome, то есть почти на любом коммерческом сайте услуг. Держать оба тоже можно, и крупные сайты так и делают.

Если вы сейчас смотрите на своё предупреждение и не понимаете, какой из описанных случаев ваш, имеет смысл прислать адрес и разобрать вместе, что именно браузер считает незащищённым, — потому что от кода ошибки зависит, чинится это за пять минут в панели хостинга или требует правок в вёрстке.

Михаил ЛапошинМаркетолог, руководитель Laposhin Agency

«Делаем сайты и запускаем Яндекс Директ так, чтобы
сайт приносил заявки, а не просто был»

Есть вопрос по статье?Задать вопрос в Telegram