«Не защищено»: исправляем HTTPS за час

«Не защищено» в адресной строке — это не мелочь: Chrome и Яндекс.Браузер показывают предупреждение, часть клиентов закрывает вкладку, поиск понижает сайт, формы с телефоном выглядят подозрительно. Лечится за час, и в большинстве случаев бесплатно. По шагам.

Три разные проблемы под одной надписью

1. Сертификата нет — сайт работает только по http.
2. Сертификат истёк или невалидный — «Ваше подключение не защищено», страшная красная страница.
3. Смешанный контент — https есть, но часть картинок/скриптов грузится по http, замок перечёркнут.

Шаг 1. Получить сертификат

Бесплатный Let's Encrypt — стандарт, ничем не хуже платных для обычного сайта. На большинстве хостингов — кнопка «SSL → Let's Encrypt → включить» в панели. На своём сервере — certbot: одна команда под nginx или apache, сертификат ставится и продлевается сам. Если панель предлагает только платный за 3 000 в год — это повод сменить хостинг, а не платить.

Шаг 2. Редирект на https

Сайт должен открываться по https всегда: http → 301 на https, www/без www — на один вариант. Без редиректа у вас два сайта в глазах поисковика и старые ссылки ведут на «не защищено». В nginx — один блок server на 80-й порт с return 301; в панели хостинга — галочка «принудительный HTTPS»; в WordPress — плагин Really Simple SSL или правка адреса сайта в настройках.

Шаг 3. Смешанный контент

Откройте консоль браузера (F12 → Console): строки «Mixed Content» показывают, что грузится по http. Обычно — картинки с абсолютными ссылками, старые виджеты, шрифты. Исправление: заменить http:// на https:// или на относительные пути; в CMS — поиск и замена по базе. Пока висит хоть одна http-картинка, замка не будет.

Шаг 4. Автопродление

Let's Encrypt живёт 90 дней. Certbot ставит таймер сам; на хостингах продление автоматическое. Проверьте через месяц: дата в сертификате должна сдвинуться. Именно из-за забытого продления сайты «ломаются» посреди рабочего дня.

Шаг 5. Проверка

• Открыть сайт в режиме инкогнито — замок закрыт, без предупреждений
• http://вашсайт → редирект на https
• Консоль без Mixed Content
• Наш бесплатный SEO-чек покажет HTTPS, срок сертификата и редиректы за 10 секунд

Если сертификат истёк вчера

Самая частая причина — не продлился автоматически: закончилось место на диске, сменился DNS, хостинг отключил функцию, домен переехал. Продлите вручную (certbot renew или кнопка в панели), затем найдите причину — иначе через 90 дней повторится. Пока не починили, сайт теряет всех посетителей: красную страницу проходит не больше 5%.

После HTTPS

Обновите адрес в Вебмастере/Search Console и Метрике, проверьте, что формы отправляются, включите HSTS, если уверены, что http больше не нужен. Подробнее о том, почему это влияет на заявки, — здесь.

Если нет доступа или времени

Ставим сертификат, редиректы, чиним смешанный контент и автопродление на любом хостинге — по часам 500 ₽, обычно один час. Сайты на нашем хостинге (входит в сопровождение от 4 700 ₽/мес) идут с HTTPS и автопродлением по умолчанию, а в сопровождении (4 700 ₽/мес) мы следим за сроками сами.