SSL-сертификат для сайта: какой нужен, где взять бесплатно и что будет, если он истечёт

Что такое SSL-сертификат и зачем он сайту

SSL-сертификат (точнее, TLS — SSL давно устарел, но название прижилось) — электронный документ, который подтверждает, что сайт принадлежит тому домену, за который себя выдаёт, и позволяет шифровать данные между браузером и сервером. С ним сайт открывается по https, в адресной строке нет пометки «не защищено».

Зачем это бизнесу:

1. Формы и телефоны. Человек вводит имя и телефон. Без шифрования эти данные идут открытым текстом. Браузеры прямо предупреждают об этом при вводе данных на сайте без https.
2. Доверие. Пометка «не защищено» рядом с адресом снижает доверие ещё до первого экрана. Особенно если человек пришёл из рекламы и видит сайт впервые.
3. Поиск. Яндекс индексирует сайты по https и описывает в справке переход на HTTPS как обычный сценарий смены главного зеркала. Если сайт открывается и по http, и по https, это два зеркала, и нужно выбрать главное. Подробнее — в статье главное зеркало сайта.
4. Оплата. Платёжные системы требуют https для страниц оплаты.

Какие бывают SSL-сертификаты

Цены на OV и EV у разных продавцов отличаются в разы, от нескольких тысяч до десятков тысяч рублей в год. Это ориентир: смотрите прайс конкретного продавца.

Важно понимать: для посетителя DV, OV и EV выглядят почти одинаково. Замочек или его отсутствие в адресной строке, в современных браузерах зелёной строки с названием компании для EV больше нет. Разница видна только тем, кто открывает данные сертификата. Поэтому для сайта услуг платить за OV или EV ради «доверия» обычно не имеет смысла.

Наблюдение из практики. Нам часто приносят сайты, где владелец платит за сертификат каждый год в 3–5 раз больше, чем стоит домен, потому что «так настроил предыдущий подрядчик». При этом хостинг сайта умеет выпускать бесплатный Let's Encrypt одной галочкой. Если у вас платный DV-сертификат — проверьте, зачем он нужен.

Где взять бесплатный SSL-сертификат

Тильда

Тильда выдаёт бесплатный сертификат для подключённого домена. По справке Тильды о HTTPS, его включают в настройках сайта: SEO → настройка HTTPS. Выпуск занимает от 5 до 30 минут. Перед этим справка советует отключить переадресации http → https и www → без www, если они были включены, а после выпуска — включить их снова и включить использование схемы https в robots.txt, sitemap.xml и канонических адресах.

Продлевает Тильда сама, пока сайт опубликован и подписка оплачена. Что происходит с сайтом при неоплате, — в статье что будет, если не оплатить Тильду.

Хостинг

Большинство российских хостингов выпускают бесплатный Let's Encrypt в панели управления: раздел SSL или «Сертификаты», кнопка выпуска для домена. Продление обычно автоматическое, но стоит проверить: в панели должна быть отметка об автопродлении.

Свой сервер: Let's Encrypt и certbot

Если сайт на своём сервере, сертификат выпускают клиентом протокола ACME, самый известный — certbot. Он сам проверяет домен, получает сертификат, прописывает его в конфигурацию веб-сервера и ставит задание на автоматическое продление.

Что важно знать о Let's Encrypt в 2026 году:

• Срок — 90 дней. Let's Encrypt объявил переход на 45-дневные сертификаты: в 2027 году срок сократится до 64 дней, в 2028 году — до 45.
• Писем об истечении больше нет. С июня 2025 года Let's Encrypt перестал рассылать напоминания об истечении сертификатов. Если автопродление сломалось, вы узнаете об этом от клиентов.

Почему сертификаты больше не продаются на год

В апреле 2025 года CA/Browser Forum — объединение удостоверяющих центров и разработчиков браузеров — принял решение поэтапно сократить максимальный срок публичных сертификатов. Расписание такое:

Что это значит для владельца сайта. Даже если вы покупаете платный сертификат «на год», продавец выдаст его частями, а перевыпускать и устанавливать его придётся несколько раз за год. При 47 днях это уже около восьми раз в год. Делать это руками нереально, нужна автоматизация.

Российские сертификаты: когда они нужны

С 2022 года Минцифры выдаёт российские сертификаты через Госуслуги. Факты, которые стоит знать до решения:

• Бесплатно, но только юрлицам — владельцам сайтов. Индивидуальный предприниматель или физлицо такой сертификат не получат.
• Корневой сертификат — Russian Trusted Root CA. Браузеры Яндекс и Атом его поддерживают из коробки. Chrome, Safari, Firefox и Edge — нет: посетителю нужно самому установить корневой сертификат на устройство.
• Без установленного корневого сертификата посетитель увидит то же предупреждение, что и при отсутствии сертификата.

Вывод для сайта малого бизнеса: российский сертификат как единственный — плохая идея, большая часть посетителей увидит ошибку. Его ставят дополнительно к международному, если это требуется по работе с госсистемами или по требованиям партнёров. Для обычного сайта услуг достаточно Let's Encrypt или сертификата от хостинга.

Если не уверены, какой сертификат у вас стоит, кто его продлевает и когда он истечёт, это проверяется за несколько минут.

Что будет, если SSL-сертификат истечёт

Сертификат истёк — браузер показывает полноэкранную страницу «Ваше подключение не защищено» или «Подключение не является приватным». Чтобы пройти дальше, нужно нажать «Дополнительно» и «Перейти на сайт (небезопасно)». Почти никто этого не делает.

Что происходит с бизнесом:

1. Реклама работает вхолостую. Клики идут, деньги списываются, люди видят ошибку и уходят. Директ может остановить показы, если система мониторинга заметит недоступность сайта, но надеяться на это не стоит.
2. Заявки падают до нуля. В Метрике видно резкое падение визитов: счётчик часто даже не успевает загрузиться.
3. Поиск. Робот не может нормально получить страницы по https. Если ошибка висит долго, страницы могут начать выпадать из индекса.
4. Формы и оплата. Платёжные виджеты отказываются работать на странице с ошибкой сертификата.

Наблюдение из практики. Чаще всего сертификат истекает не по злому умыслу, а потому что «его продлевал бывший сотрудник» или домен перенесли к другому регистратору, а настройки DNS сломали автопродление. Владелец узнаёт об этом в понедельник утром, когда за выходные не пришло ни одной заявки.

Как настроить автопродление и не пропустить истечение

1. Выясните, кто выпускает сертификат. Тильда, хостинг, свой сервер, платный продавец. От этого зависит, где смотреть настройки.
2. Проверьте дату истечения. В браузере: замочек в адресной строке → сведения о сертификате → срок действия.
3. Включите автопродление. На хостинге — галочка в панели. На своём сервере — проверьте, что certbot или другой клиент ACME стоит в расписании, и запустите тестовое продление.
4. Настройте мониторинг. Бесплатные сервисы мониторинга присылают уведомление за несколько дней до истечения. Директ тоже умеет следить за доступностью сайта и останавливать показы, если сайт не отвечает больше 15 минут. Про ошибки сертификата справка при этом ничего не говорит, поэтому отдельный мониторинг сертификата всё равно нужен.
5. Проверьте домен. Сертификат не продлится, если домен не продлён или DNS указывает не туда. Как оформить домен, чтобы он не потерялся, — в статье домен и хостинг: на кого оформить.
6. Запишите ответственного. Кто получает уведомления и кто чинит. Это одна строчка в договоре с подрядчиком на поддержку.

Как перейти на https и ничего не сломать

Если сайт до сих пор работает по http, переход — несколько шагов.

1. Выпустите сертификат и проверьте, что сайт открывается по https.
2. Настройте постраничный 301 редирект со всех адресов http на такие же адреса https.
3. Замените внутренние ссылки, адреса картинок, скриптов и шрифтов на https. Иначе браузер покажет «смешанное содержимое»: страница на https, а часть файлов грузится по http.
4. Обновите sitemap.xml, robots.txt и канонические адреса.
5. Проверьте сайт в Вебмастере: инструмент «Проверка ответа сервера» покажет ошибку, если с сертификатом что-то не так.
6. Обновите адреса в Метрике, в рекламных кампаниях и в карточке организации на Картах.

Условный пример: сколько стоит истёкший сертификат

Пример условный, не кейс студии. Студия натяжных потолков, сайт на своём хостинге, Директ на 3 000 ₽ в день. Сайт приносит около 6 заявок в день. Сертификат истёк в пятницу вечером, заметили в понедельник в обед.

При среднем чеке 40 000 ₽ и конверсии заявки в договор 25% это четыре несостоявшихся договора. Настройка автопродления на хостинге занимает несколько минут.

Пошаговая проверка SSL на сайте

1. Сайт открывается по https без предупреждений в Chrome, Safari и Яндекс Браузере?
2. Адрес с http автоматически перенаправляет на https кодом 301?
3. Сколько дней осталось до истечения сертификата?
4. Включено ли автопродление и кто за него отвечает?
5. Нет ли «смешанного содержимого» — картинок и скриптов по http?
6. Есть ли мониторинг, который предупредит за несколько дней до истечения?
7. Продлён ли домен и кто получает уведомления от регистратора?

Если хотите, чтобы это проверили за вас вместе с остальными техническими ошибками сайта, оставьте контакты.