SSL-сертифікат і HTTPS: навіщо він сайту, скільки коштує та як впливає на SEO

SSL-сертифікат — це те, що перетворює адресу сайту з http:// на https:// і прибирає напис «Не захищено» біля неї. У цьому матеріалі ви отримаєте пояснення без жаргону, порівняння типів сертифікатів, п’ятихвилинну самоперевірку, покроковий план переходу на HTTPS без втрат у Google, таблицю типових поломок і план дій на випадок, якщо сертифікат прострочився в найневдаліший момент.

Уявіть: клієнтка відкриває сайт салону, щоб записатися, і бачить біля адреси напис «Не захищено». Вона не знає, що таке шифрування, але точно не захоче вводити свій телефон на сторінці, яку браузер називає небезпечною. Частина людей закриє вкладку, навіть не дочитавши ціни.

Тема звучить технічно, проте для власника бізнесу все зводиться до кількох простих питань: чи є сертифікат на моєму сайті, чи не закінчиться він несподівано, чи правильно налаштований перехід на HTTPS і чи не втратив сайт через це позиції. Відповідаємо по черзі, без зайвих термінів.

Попередження браузера: що відштовхує відвідувача

Сучасні браузери позначають сайти без HTTPS як незахищені. Залежно від браузера й пристрою це виглядає по-різному, але сенс однаковий:

• напис «Не захищено» або перекреслений замок біля адреси;
• попередження під час заповнення форми, що дані можуть бути перехоплені;
• повноекранна червона сторінка з попередженням, якщо сертифікат прострочений або налаштований з помилкою;
• у деяких випадках браузер узагалі не відкриває сторінку без додаткового підтвердження.

Останні два варіанти найнебезпечніші для бізнесу. Людина бачить фразу на кшталт «Ваше з’єднання не є приватним» і майже напевно йде. Причому власник часто дізнається про проблему через кілька днів, коли помічає, що заявки раптом припинилися.

Окремо варто згадати рекламу й соцмережі. Якщо ви ведете людей на сайт з Instagram чи платної реклами, кожне попередження браузера означає оплачений клік, який не приніс нічого. Деякі рекламні системи й платіжні сервіси взагалі не працюють із сайтами без захищеного з’єднання.

Ще одна деталь: попередження бачать не лише нові відвідувачі, а й постійні клієнти, які зайшли подивитися ціни чи адресу. Для них напис «Не захищено» на знайомому сайті виглядає як ознака того, що з бізнесом щось не так: його покинули або зламали. Відновити таку довіру складніше, ніж увімкнути сертифікат.

SSL-сертифікат без технічного жаргону

Коли людина відкриває сайт, її браузер і сервер обмінюються даними: текстом сторінок, номером телефону з форми, паролем від особистого кабінету. Без шифрування ці дані передаються відкритим текстом, і їх теоретично може прочитати будь-хто на шляху, наприклад у публічній мережі Wi-Fi кав’ярні.

Сертифікат робить дві речі. По-перше, шифрує з’єднання, тож сторонні бачать лише набір символів. По-друге, підтверджує, що сайт за цією адресою справді той, за кого себе видає. Саме тому адреса починається з https://, а браузер показує замок.

Зручна аналогія: звичайний HTTP — це листівка, яку може прочитати кожен листоноша по дорозі. HTTPS — той самий лист, але в запечатаному конверті з печаткою, яка підтверджує відправника. Зміст однаковий, а прочитати його може лише адресат.

Технічно сучасні сертифікати працюють за протоколом TLS, але назва SSL прижилася, і всі продовжують нею користуватися. Для вас різниці немає: шукаєте ви «SSL» чи «TLS», мова про одне й те саме.

Що змінюється після встановлення

• Для відвідувача: замок біля адреси, жодних попереджень під час заповнення форми, сторінки відкриваються без додаткових підтверджень.
• Для вас: заявки не губляться через страх відвідувачів, рекламні кліки не пропадають на сторінці з попередженням, платіжні сервіси й сучасні функції браузера працюють без обмежень.
• Для пошуку: Google бачить безпечну версію сайту й обирає саме її для показу.

Варто розуміти й межі: ssl-сертифікат не робить сайт швидшим, кращим чи вищим у видачі сам по собі. Він прибирає перешкоду, яка заважала всьому іншому.

DV, OV, EV і wildcard: який тип потрібен малому бізнесу

Найпоширеніше питання. Коротка відповідь: для сайту послуг, візитки чи невеликого магазину зазвичай достатньо безкоштовного сертифіката. Шифрування в нього таке саме надійне, як і в платного. Різниця — у рівні перевірки власника й додаткових гарантіях.

Тип	Що перевіряють	Вартість	Кому підходить
DV (перевірка домену)	Лише те, що ви контролюєте домен	Безкоштовно або кілька доларів на рік	Більшості сайтів малого бізнесу
OV (перевірка організації)	Існування компанії за документами	Орієнтовно десятки доларів на рік	Компаніям, яким важливо показати юридичну особу в сертифікаті
EV (розширена перевірка)	Детальна перевірка компанії	Найдорожчий варіант	Банкам, великим платіжним сервісам
Wildcard	Покриває всі піддомени	Залежить від типу	Сайтам з багатьма піддоменами

Відвідувач у браузері зазвичай не бачить різниці між DV і OV: замок однаковий. Тому платити за складнішу перевірку має сенс лише тоді, коли цього вимагає партнер, банк чи тендер, а не «для солідності».

Щоб дізнатися, який сертифікат стоїть на вашому сайті зараз, натисніть на замок біля адреси й відкрийте відомості про з’єднання та сертифікат. Там видно, ким він виданий, на який домен і до якої дати діє. Якщо у полі власника лише ваш домен без назви компанії, у вас DV-сертифікат, і для більшості сайтів послуг цього достатньо.

Форми, оплата, особистий кабінет: де захист критичний

Сертифікат потрібен будь-якому сайту, але є місця, де його відсутність особливо болить. Якщо на вашому сайті є хоч один із цих елементів, перевірте HTTPS першочергово:

• Форма заявки чи запису. Людина вводить ім’я й телефон, а браузер попереджає про незахищене з’єднання саме в цю мить.
• Кошик і оформлення замовлення. Адреса доставки, телефон, пошта — особисті дані, які покупці не хочуть передавати відкрито.
• Оплата карткою. Платіжні сервіси зазвичай вимагають HTTPS на сторінці, звідки людина переходить до оплати.
• Особистий кабінет. Логін і пароль без шифрування — пряма загроза для клієнтів, які часто використовують той самий пароль і деінде.
• Онлайн-запис із вибором часу. Віджети сторонніх сервісів можуть не працювати на сторінках без захищеного з’єднання.

Для інтернет-магазину відсутність сертифіката — не просто втрата довіри, а фактична неможливість нормально приймати замовлення. Тому в магазинах сертифікат має бути з першого дня, ще до запуску реклами й додавання товарів.

Самоперевірка HTTPS за п’ять хвилин

Перш ніж щось налаштовувати, перевірте, як справи зараз. Для цього не потрібні технічні знання, лише браузер і телефон.

1. Введіть у браузері адресу з http:// — вас має автоматично перекинути на https://.
2. Спробуйте варіанти з www і без — обидва мають вести на одну адресу.
3. Натисніть на значок замка біля адреси й подивіться, до якої дати дійсний сертифікат.
4. Відкрийте кілька сторінок, зокрема з формою й галереєю: замок має бути на кожній.
5. Перевірте сайт з телефона: мобільні браузери інколи суворіші до помилок.
6. Відправте тестову заявку через форму й переконайтеся, що браузер не показує попереджень.

Запишіть результати. Якщо всі шість пунктів проходять, з сертифікатом усе гаразд, і далі варто лише стежити за датою закінчення. Якщо хоч один не проходить, проблему варто виправити найближчим часом: кожен день з попередженням на сайті коштує частини заявок.

Як увімкнути безкоштовний сертифікат у хостингу

Більшість хостингів зараз встановлюють безкоштовний сертифікат автоматично або в кілька кліків у панелі керування. Назви пунктів меню в різних компаній відрізняються, але загальна послідовність схожа:

1. Увійдіть у панель керування хостингом під своїм акаунтом.
2. Знайдіть розділ, пов’язаний із доменами, безпекою або SSL.
3. Оберіть домен і безкоштовний сертифікат, увімкніть його для обох варіантів адреси — з www і без.
4. Зачекайте, поки сертифікат видадуть: зазвичай від кількох хвилин до кількох годин.
5. Переконайтеся, що автоматичне оновлення ввімкнене.
6. Відкрийте сайт за адресою з https:// і перевірте замок.

Якщо ваш хостинг пропонує лише платний варіант для звичайного сайту, це привід порівняти умови з іншими. Як обрати хостинг і на що звертати увагу, ми розповідали в статті про домен і хостинг.

Увімкнути сертифікат — це лише половина роботи. Якщо сайт уже давно існує на HTTP, після цього кроку потрібен акуратний переїзд, про який нижче. Інакше в пошуку житимуть дві копії сайту одночасно.

Якщо сайт працює на WordPress

Для сайтів на цій системі після ввімкнення сертифіката зазвичай потрібно ще змінити адресу сайту в загальних налаштуваннях на https:// і замінити старі адреси зображень у записах. Робити це варто після резервної копії, бо помилка в адресі може тимчасово закрити доступ до адмінки. Про сильні й слабкі сторони цієї системи для малого бізнесу ми писали в статті про сайт на WordPress.

Як HTTPS впливає на SEO насправді

Google ще кілька років тому офіційно назвав HTTPS одним із сигналів ранжування. Але чесно: це слабкий сигнал. Сайт не злетить у видачі лише тому, що отримав замок. Набагато сильніше працює непрямий ефект:

• люди не тікають зі сторінки через попередження, і це помітно в поведінці відвідувачів;
• форми заявок працюють без тривожних повідомлень, тож заявок більше;
• Google і браузери віддають перевагу безпечним версіям сторінок, коли обирають, яку показати;
• без HTTPS деякі сучасні функції браузера просто не працюють, наприклад геолокація чи деякі способи оплати.

Тобто сертифікат — не інструмент просування, а базова умова. Без нього решта зусиль працює гірше. Він стоїть у тому самому ряду, що й швидкість, мобільна версія та правильна індексація, про які йдеться в статті про технічне SEO.

Звідси практичний висновок: не варто чекати від переходу на HTTPS стрибка позицій, але й відкладати його немає сенсу. Це одна з небагатьох робіт у SEO, яку можна зробити за день і більше до неї не повертатися, якщо автоматичне оновлення налаштоване правильно.

Чого не варто чекати

Якщо підрядник обіцяє, що після переходу на HTTPS сайт «вийде в топ», це привід насторожитися. Чесне формулювання звучить інакше: перехід прибирає технічну перешкоду, а позиції залежать від змісту сторінок, структури, відгуків і конкурентів. Оцінювати ефект варто через кілька тижнів, і не за позиціями, а за тим, чи не зменшилися покази та чи не зросла кількість заявок із форм.

Переїзд з HTTP на HTTPS: покроковий план

Якщо сайт існує давно й працює без сертифіката, перехід варто зробити акуратно, щоб Google зрозумів, що це той самий сайт, а не новий.

1. Встановіть сертифікат у панелі хостингу й переконайтеся, що сайт відкривається за адресою з https://.
2. Налаштуйте постійне перенаправлення (редирект 301) з усіх адрес http:// на відповідні https://. Не на головну, а сторінку на сторінку.
3. Оберіть один варіант — з www чи без — і перенаправляйте другий туди ж. Інакше в Google з’являться чотири версії кожної сторінки.
4. Замініть у шаблоні й текстах внутрішні посилання та адреси зображень з http:// на https://.
5. Оновіть адресу сайту в Google Search Console, Google Analytics, профілі компанії в Google і соцмережах.
6. Перевірте карту сайту: у ній мають бути лише адреси з https://.
7. Протягом кількох тижнів стежте за звітом про індексування в Search Console.

Пункт 3 важливіший, ніж здається. Сайт, доступний одночасно за http і https, з www і без, — класичне джерело дублікатів. Як вони шкодять і як їх знайти, розібрано в матеріалі про дублі сторінок.

Якщо сайт невеликий, увесь переїзд зазвичай займає кілька годин. Але навіть тоді не вважайте роботу завершеною, поки не перевірили кожну важливу сторінку вручну: головну, послуги, ціни, контакти й сторінки з формами. Встановлений ssl-сертифікат без правильних перенаправлень — найчастіша причина тимчасових втрат у пошуку після переходу.

Після переходу: що перевірити в Search Console

Перехід на HTTPS — момент, коли Search Console стає особливо корисною. Вона показує, як Google сприймає нову версію сайту, і допомагає вчасно помітити проблеми. Якщо ви ще не працювали з цим сервісом, почніть з інструкції по Google Search Console.

• Ресурс. Переконайтеся, що в Search Console додано весь домен або саме версію з https://. Дані для старої версії http:// можуть показуватися окремо.
• Індексування сторінок. Протягом кількох тижнів кількість проіндексованих сторінок на https має зростати, а на http — зменшуватися.
• Перевірка URL. Введіть адресу кількох важливих сторінок і подивіться, яку версію Google вважає основною.
• Карта сайту. Надішліть оновлену карту з адресами https:// і перевірте, що вона прочитана без помилок.
• Ефективність. Порівняйте покази й кліки за два тижні до і після переходу. Невеликі коливання нормальні, різке падіння — сигнал перевірити перенаправлення.

Зазвичай повний перехід в індексі займає від кількох днів до кількох тижнів, залежно від розміру сайту й того, як часто Google його відвідує. Не поспішайте робити висновки після першого дня.

Типові поломки після встановлення і як їх лікувати

Більшість проблем із сертифікатом не пов’язані з ним самим, а виникають через налаштування навколо нього. Ось найчастіші:

Проблема	Як проявляється	Що зробити
Змішаний вміст	Замок зникає на окремих сторінках, частина картинок не вантажиться	Замінити адреси зображень, шрифтів і скриптів на https://
Сертифікат закінчився	Червона сторінка з попередженням на весь екран	Перевипустити в панелі хостингу, перевірити автооновлення
Ланцюжок перенаправлень	Сайт відкривається повільніше, кілька переходів поспіль	Одне перенаправлення одразу на фінальну адресу
Сертифікат не для того домену	Попередження лише на версії з www або без	Випустити сертифікат для обох варіантів адреси
Усі старі адреси ведуть на головну	Падіння показів окремих сторінок у пошуку	Налаштувати перенаправлення сторінка на сторінку

Змішаний вміст найчастіше трапляється на старих сайтах, де адреси картинок прописані в текстах вручну, а також на сайтах із вбудованими віджетами сторонніх сервісів. Ланцюжки виду http → http://www → https://www → https уповільнюють завантаження й ускладнюють роботу пошуковим роботам. Як швидкість впливає на заявки й позиції, ми розбирали в статті про швидкість сайту.

Хто відповідає за ssl-сертифікат і що зберегти в себе

Типова ситуація: сайт зробив знайомий кілька років тому, хостинг оплачується з чужої картки, а коли сертифікат перестає оновлюватися, ніхто не знає, де його налаштовувати. Щоб так не сталося, варто один раз з’ясувати кілька речей і записати відповіді.

• Де встановлено сертифікат. У панелі хостингу, через сервіс на кшталт CDN чи вручну на сервері.
• Хто оновлює. Автоматично хостинг, підрядник за договором підтримки чи ніхто.
• Дата закінчення. Видно, якщо натиснути на замок у браузері. Запишіть її в календар з нагадуванням за два тижні.
• Доступи. Логін до панелі хостингу й реєстратора домену мають бути у вас, а не лише в підрядника.
• Контакт для екстрених випадків. Кому писати, якщо сайт раптом показує попередження.

Це займає пів години, але рятує від ситуації, коли сайт кілька днів поспіль лякає відвідувачів, а ви шукаєте людину, яка пам’ятає пароль від хостингу.

Сертифікат прострочився в п’ятницю ввечері: план дій

Ілюстративний сценарій, який трапляється частіше, ніж хотілося б: ви відкриваєте свій сайт і бачите червону сторінку з попередженням. Ось порядок дій, який допомагає не панікувати й не втратити зайвий день.

1. Натисніть на попередження й подивіться деталі: зазвичай браузер пише, що сертифікат прострочений або виданий для іншої адреси.
2. Відкрийте панель хостингу й знайдіть статус сертифіката для вашого домену.
3. Якщо сертифікат безкоштовний, спробуйте перевипустити його там же. Часто це займає кілька хвилин.
4. Якщо доступу немає або перевипуск не працює, напишіть у підтримку хостингу й підряднику одночасно.
5. Поки проблема не вирішена, тимчасово змініть посилання в рекламі й соцмережах на месенджер чи телефон, щоб не втрачати людей.
6. Після виправлення з’ясуйте причину: чому автооновлення не спрацювало, і запишіть, хто за нього відповідає.

Найчастіша причина — переїзд на інший хостинг, зміна налаштувань домену або закінчення оплати послуги, через яку працював сертифікат. Усі три легко передбачити, якщо дані з попереднього розділу записані й нагадування стоять у календарі.

Вартість і терміни: скільки коштує ssl-сертифікат і налаштування

Орієнтири, щоб розуміти, за що варто платити, а за що ні:

• безкоштовний сертифікат від хостингу — 0 $, увімкнення займає від кількох хвилин до години;
• платний сертифікат з перевіркою організації — орієнтовно десятки доларів на рік плюс час на перевірку документів;
• переїзд невеликого сайту з HTTP на HTTPS з перенаправленнями й заміною посилань — зазвичай від кількох годин до дня роботи фахівця;
• регулярний нагляд за сертифікатом, оновленнями й резервними копіями — частина звичайної техпідтримки.

Перевірка сертифіката, перенаправлень і змішаного вмісту входить у кожен SEO-аудит сайту, разом з іншими технічними моментами, які непомітні оку, але заважають у пошуку. Якщо не хочеться стежити за цим самостійно, серед послуг є техпідтримка від 30 $ на місяць. А всі сайти з каталогу готових рішень GuideWay запускаються одразу з HTTPS і налаштованими перенаправленнями, тож цю роботу не доводиться робити окремо.

Якщо ви плануєте новий сайт, питання сертифіката варто закрити ще на етапі обговорення: хто його вмикає, хто стежить за оновленням і чи входить це у вартість. Порівняти формати готових сайтів і те, що входить у кожен, можна на сторінці цін.

Самостійно, через хостинг чи з підрядником

Варіант	Скільки часу	Ризики	Коли підходить
Самостійно в панелі хостингу	30–60 хвилин на новому сайті	Забути про перенаправлення й змішаний вміст	Новий сайт без історії в пошуку
Через підтримку хостингу	Від кількох годин до доби	Підтримка вмикає сертифікат, але не налаштовує сайт	Коли немає досвіду з панеллю
Підрядник або фахівець	Зазвичай до одного робочого дня	Мінімальні, якщо є план переїзду й перевірка після	Сайт давно в пошуку, багато сторінок

Для нового сайту ssl-сертифікат можна увімкнути самостійно без жодного ризику. Для сайту, який роками збирав позиції, краще, щоб переїзд робила людина, яка вже робила це раніше й перевірить результат у Search Console.

Часті запитання

Чи потрібен SSL-сертифікат сайту-візитці без оплати онлайн?

Так. Навіть якщо на сайті немає оплати, там зазвичай є форма заявки з телефоном чи поштою. Без HTTPS браузер позначить сайт як незахищений, і частина відвідувачів піде. Крім того, HTTPS — базова вимога для нормальної роботи сайту в пошуку. Безкоштовний сертифікат цілком підходить для візитки й не потребує щорічних витрат.

Скільки коштує сертифікат для сайту?

Базовий сертифікат з перевіркою домену більшість хостингів видають безкоштовно й оновлюють автоматично. Платні сертифікати з перевіркою організації коштують орієнтовно від кількох десятків доларів на рік і більше. Для більшості сайтів малого бізнесу платити за сертифікат немає потреби: шифрування однаково надійне, а відвідувач бачить такий самий замок.

Чи впадуть позиції сайту після переходу на HTTPS?

Якщо перехід зроблено правильно, з постійними перенаправленнями зі сторінки на сторінку й оновленими налаштуваннями в Search Console, серйозних втрат зазвичай немає. Можливі невеликі коливання протягом кількох тижнів, поки Google переіндексує сторінки. Проблеми виникають, коли перенаправлення відсутні або всі адреси ведуть на головну.

Що робити, якщо браузер пише, що сертифікат недійсний?

Найчастіше сертифікат прострочився або виданий не для тієї адреси, наприклад без www. Відкрийте панель хостингу й перевірте його статус, перевипустіть безкоштовний сертифікат, якщо потрібно. Якщо сайт робив підрядник, зверніться до нього: це зазвичай виправляється за годину, але кожен день затримки коштує заявок.

Як часто потрібно оновлювати сертифікат?

Безкоштовні сертифікати діють кілька місяців і мають оновлюватися автоматично, тож вручну нічого робити не потрібно, якщо автооновлення налаштоване. Платні зазвичай видаються на рік. В обох випадках запишіть дату закінчення в календар з нагадуванням за два тижні й раз на квартал перевіряйте замок у браузері.

Чи захищає HTTPS сайт від злому?

Ні. Сертифікат захищає дані на шляху між відвідувачем і сервером, але не захищає сам сайт від вразливостей у системі керування, слабких паролів чи застарілих плагінів. Для цього потрібні регулярні оновлення, надійні паролі, резервні копії й нагляд за сайтом. HTTPS — лише одна з базових умов безпеки, а не повний захист.

Що таке змішаний вміст і як його знайти?

Це ситуація, коли сторінка відкривається через HTTPS, але окремі зображення, шрифти чи скрипти завантажуються через старий HTTP. Браузер прибирає замок або блокує ці елементи. Знайти їх можна, відкривши сторінку й перевіривши, чи є замок, а також через інструменти розробника в браузері, які показують попередження про незахищені ресурси.