Как защитить подключение к сайту

Как исправить ошибку «Ваше подключение не защищено»

Важно убедиться, что веб-сайты, которые вы просматриваете, безопасны. Есть несколько способов проверить это. Один из них – проверить в браузере в адресной строке наличие символа с замком. Но также в браузере может показываться сообщение «Ваше подключение не защищено». Если вы игнорируете сообщения с подобной ошибкой, то вы подвергаете риску свою онлайн-информацию.

Чтобы помочь вам оставаться в безопасности в Интернете, мы объясним причины, по которым на вашем экране может появиться ошибка “Ваше подключение не защищено”, и как ее исправить.

Что означает ошибка «Ваше подключение не защищено»?

Сообщение с ошибкой «Ваше подключение не защищено» обозначает, что соединение не является безопасным. Это означает, что если вы не используете антивирус или шифрование, ваше устройство может стать «золотой жилой» для хакеров.

Чтобы получить доступ к веб-сайту, ваш браузер должен выполнить проверку цифровых сертификатов, установленных на сервере, чтобы убедиться, что сайт соответствует стандартам конфиденциальности и безопасен для дальнейшего использования. Если Ваш браузер обнаружит что-то неладное с сертификатом, он попытается предотвратить ваш доступ к этому сайту. Именно в этот момент вы увидите сообщение “Ваше подключение не защищено».

Эти сертификаты также называются сертификатами инфраструктуры открытых ключей или удостоверениями личности. Они предоставляют доказательства того, что открываемый сайт действительно является тем сайтом, за который он себя выдает. Цифровые сертификаты помогают защитить вашу личную информацию, пароли и платежную информацию.

Когда ваше соединение не защищено, то обычно это происходит из-за ошибки в сертификате SSL.

Что такое ошибка SSL-соединения?

Сертификат Secure Sockets Layer (SSL) предназначен для обслуживания веб-сайтов через защищенные соединения HTTPS. HTTPS – это барьер безопасности, используемый для безопасной авторизации соединений и защиты данных. Ошибка SSL-соединения возникает тогда, когда у вашего браузера нет безопасного способа для открытия запрашиваемого сайта. Когда браузер увидит, что соединение не является безопасным, он попытается остановить вас от доступа к этому веб-сайту.

Существует несколько различных причин возникновения ошибки SSL-соединения:

• Сертификат отсутствует или срок его действия истек
• Ваш браузер не обновлен
• Ваш антивирус или настройки даты и времени отключены
• Ошибка сервера

Если сообщение вызвано ошибкой на сервере, то вам придется подождать, пока владелец этого сервера не исправит данную ошибку.

Как ошибка «Ваше подключение не защищено» выглядит в разных браузерах

Когда вы получите подобное сообщение об ошибке, оно приведет вас на новую страницу. Некоторые браузеры используют простые сообщения, в то время как другие используют коды и предупреждающие знаки.

Google Chrome

Когда вы получите данное сообщение об ошибке в Google Chrome, оно приведет вас на страницу под названием Ошибка конфиденциальности. На ней браузер покажет большой красный восклицательный знак и сообщение «Ваше подключение не защищено». Он предупредит вас, что злоумышленники могут попытаться украсть ваши пароли, сообщения или кредитные карты. Сообщение даст вам возможность вернуться на предыдущую страницу, перейти к дополнительным настройкам или попытаться продолжить работу на сайте.

Кроме того, страница будет иметь код ошибки. Вот некоторые из наиболее распространенных:

• NET::ERR_CERT_COMMON_NAME_INVALID
• NET::ERR_CERT_AUTHORITY_INVALID NTE::ERR_CERTIFICATE_TRANSPARENCY_REQUIRED
• NET::ERR_CERT_DATE_INVALID
• NET::ERR_CERT_WEAK_SIGNATURE_ALGORITHM
• ERR_CERT_SYMANTEC_LEGACY
• SSL certificate error
• ERR_SSL_VERSION_OR_CIPHER_MISMATCH.

Mozilla Firefox

В Mozilla Firefox данное сообщение выглядит аналогично, но звучит несколько иначе: «Ваше подключение не безопасно». В нем сообщается, что владелец сайта неправильно его настроил. Также у вас есть возможность вернуться назад или перейти к дополнительным настройкам.

Наиболее распространенные коды ошибок, которые вы можете увидеть в Firefox:

• SEC_ERROR_EXPIRED_CERTIFICATE
• SEC_ERROR_EXPIRED_ISSUER_CERTIFICATE
• SEC_ERROR_UNKNOWN_ISSUER.
• SEC_ERROR_OCSP_INVALID_SIGNING_CERT
• MOZILLA_PKIX_ERROR_MITM_DETECTED
• MOZILLA_PKIX_ERROR_ADDITIONAL_POLICY_CONSTRAINT_FAILED
• SSL_ERROR_BAD_CERT_DOMAIN
• ERROR_SELF_SIGNED_CERT

Safari

Если вы – пользователь браузера Safari, то вы получите сообщение на новой странице с фразой о том, что данное соединение не является защищенным, и что открываемый веб-сайт может выдавать себя за тот сайт, к которому вы хотели бы получить доступ, чтобы украсть вашу личную или финансовую информацию.

Microsoft Edge

Если вы используете Microsoft Edge, то вы увидите сообщение, которое выглядит почти идентично сообщению Google Chrome с восклицательным знаком и сообщением “Ваше подключение не защищено». Если сертификат не соответствует домену, к которому вы пытаетесь подключиться, то вы увидите тот же код.

Наиболее распространенные коды ошибок, которые вы можете увидеть в Microsoft Edge:

• NET::ERR_CERT_COMMON_NAME_INVALID
• DLG_FLAGS_INVALID_CA
• DLG_FLAGS_SEC_CERT_CN_INVALID
• Error Code: 0

Как исправить ошибку «Ваше подключение не защищено»

Существует несколько различных способов исправить или обойти это сообщение об ошибке.

1. Перезагрузите страницу

Конечно, это кажется самым простым решением, но иногда перезагрузка страницы позволяет устранить сбои, связанные с тайм-аутом браузера, Интернет-соединения и т.д. Попробуйте заново набрать адрес сайта в адресной строке браузера (возможно, ранее была опечатка).

2. Попробуйте режим инкогнито

Следующее, что вы можете попробовать, это включить режим инкогнито и попытаться получить доступ к тому же веб-сайту. Если веб-сайт действительно имеет проблемы с безопасностью, то он не должен работать, как только вы переключитесь в режим инкогнито, потому что этот режим позволяет просматривать сайт без сохранения истории или кэша. Если браузер по-прежнему говорит «Ваше подключение не защищено», то вы должны попробовать очистить свой кэш.

Чтобы в браузере Chrome открыть вкладку в режиме инкогнито, в правом верхнем углу нажмите на кнопку с тремя точками, после чего в выпадающем меню выберите пункт «Новое окно в режиме инкогнито» (того же самого можно добиться нажатием клавиш Ctrl + Shift+N).

3. Проверьте дату и время

Дважды проверьте правильность даты и времени на вашем компьютере. Если они не совпадают с браузером, может возникнуть ошибка SSL-соединения.

Как проверить дату и время на Mac

1. Перейдите в меню Apple в верхнем левом углу экрана

2. Нажмите на System Preferences

3. Здесь выберите Date & Time

4. Проверьте, что дата и время указаны верно

Как проверить дату и время в Windows

1. Правой кнопкой мыши нажмите на дате и времени в панели задач (как правило, в правом нижнем углу экрана)

2. В выпадающем меню выберите «Настройка даты и времени»

3. Проверьте, что дата и время указаны верно

4. Очистите кеш и куки в вашем браузере

Во время просмотра веб-страниц ваш компьютер хранит файлы «куки» (cookie), которые собирают данные и занимают много места на жестком диске. Когда ваш компьютер пытается обработать всю эту информацию, он может начать работать медленнее.

Попробуйте зайти в настройки и очистить кеш и куки в вашем браузере. Удаление всей этой информации ускорит ваши соединения.

5. Обратите внимание, какой используется Wi-Fi

Вы можете получить данное сообщение с ошибкой при использовании публичного Wi-Fi, который не является безопасным. Некоторые публичные Wi-Fi имеют плохую конфигурацию и не работают по протоколу HTTPS. Если вы не уверены в безопасности вашего соединения, найдите другую сеть Wi-Fi или подождите, пока вы не сможете безопасно просматривать сайты у себя дома.

Лучший способ защитить ваши данные при соединениях через публичный Wi-Fi, — это использовать виртуальную частную сеть (VPN). VPN помогает скрыть ваш трафик и защитить вашу онлайн-личность во время обмена зашифрованными данными с удаленным сервером.

6. Проверьте ваш антивирус или файервол

Если у вас имеется антивирус, установленный на вашем устройстве с Mac или Windows, вы также можете получать сообщение об ошибке, поскольку антивирус или файервол переопределяет вашу сеть. Проверьте наличие этой проблемы, временно отключив функцию сканирования SSL.

7. Действуйте осторожно

Если вы все еще видите сообщение «Ваше подключение не защищено», но при этом вам необходимо обязательно открыть требуемый сайт, то делайте это с максимальной осторожностью. Ваш браузер показывает вам это сообщение и советует не продолжать по уважительной причине.

Решив продолжить, Вы можете подвергнуть свою личную информацию и платежную информацию риску быть скомпрометированными. Время и деньги, связанные с этим риском, не стоят того.

Если вы выполните наши рекомендации, то сможете исправить или обойти сообщение об ошибке «Ваше подключение не защищено». Помните, что вы получаете это сообщение в результате того, что веб-сайт, к которому вы пытаетесь получить доступ, не считается безопасным. Если вам не удастся устранить проблему, то игнорируя ее, вы, конечно, сможете открыть требуемый сайт и найти то, что вы ищете, но при этом вы также будете рисковать вашей персональной информацией. Существует программное обеспечение, такое как антивирус Panda Dome, которое вы можете использовать для защиты своей цифровой жизни. Ваша онлайн-информация имеет большую ценность, поэтому будьте разумны при поиске в Интернете, чтобы ваша информация не оказалась в чужих руках.

Как исправить ошибку «Ваше подключение не защищено»

При переходе на сайт или в панель управления сервером можно увидеть такие сообщения, как:

• ваше подключение не защищено,
• это соединение является недоверенным,
• подключение не защищено,
• подключение к сайту не защищено.

В этой статье мы расскажем, как создаётся защищённое соединение, какие причины ошибок такого соединения бывают и как убрать проблему.

Что такое защищённое соединение

Когда появился интернет, проблем с мошенниками не было. Разработчикам было важно наладить сам процесс передачи данных. Одной из важных разработок для интернета стал протокол передачи данных – HTTP (HyperText Transfer Protocol). С его помощью браузер получает информацию от сервера и показывает пользователю контент.

Со временем проблема утечки персональных данных стала очень острой, и на смену HTTP пришёл HTTPS. HTTPS (HyperText Transfer Protocol Secure) ― защищённый протокол передачи данных в интернете. Это тот же протокол HTTP, но защищённый SSL-сертификатом, который выдаётся центром сертификации после проверки сайта и его владельца. Владелец ресурса должен приобрести SSL и установить HTTPS-соединение, чтобы пользователи могли безопасно заходить на его сайт. Подробнее о работе протокола читайте в статье Что такое протокол HTTPS и принципы его работы.

Если раньше защищённое соединение было необязательным, то сейчас браузеры оповещают пользователей о незащищённых сайтах. Они могут это делать в URL-строке или показывать сообщение вида «Ваше подключение не защищено» на весь экран.

Сообщение «Ваше подключение не защищено»: как исправить

Самая очевидная причина отсутствия HTTPS-соединения ― отсутствие SSL-сертификата у владельца сайта. Сам пользователь не может повлиять на это. Ему остаётся только решить, готов ли он рискнуть своими данными при соединении с веб-ресурсом. Однако среди ответственных ресурсов таких ситуаций становится всё меньше.

Кроме этой причины, есть ещё несколько как на стороне пользователя, так и на стороне владельца.

Подключение не защищено в Google Chrome и других браузерах: как исправить ошибку владельцу

Чаще всего на стороне владельца проблемы возникают по следующим причинам:

Установлен самоподписанный SSL-сертификат. SSL-сертификат можно купить или выпустить самому. Самоподписанный бесплатный сертификат обеспечивает такую же защиту передаваемых данных, как и заверенный платный сертификат. Однако браузер не доверяет самовыпущенным SSL, так как они не верифицированы сторонней компанией. Заверенные платные сертификаты, помимо защиты передачи данных, гарантируют, что информация о домене и его владельце была проверена независимым источником. Если владельцем домена является юридическое лицо, сертификат гарантирует, что такая компания действительно существует и её деятельность законна. Поэтому, если вы пользуетесь самоподписанным SSL, пользователи будут часто встречаться с таким предупреждением на вашем сайте.

Закончился срок действия SSL-сертификата. Сертификат приобретается на 1 год. Если вы зашли на привычный сайт и увидели ошибку, достаточно подождать, когда владелец продлит SSL. Тогда защищённое соединение будет восстановлено. Если вы владелец ресурса и покупали сертификат в REG.RU, установите функцию автопродления в Личном кабинете. Так вы не забудете продлить услугу, и данные ваших посетителей будут надёжно защищены.

Сайт не настроен для работы по HTTPS. Кроме покупки и установки сертификата, нужно настроить переадресацию сайта на HTTPS. Если владелец веб-сайта этого не сделал, браузер будет выдавать ошибку.

Подключение к сайту защищено не полностью. Даже если владелец установил SSL и сделал переадресацию ресурса на HTTPS, внутри сайта могут находиться ссылки на внутренние страницы и файлы (CSS-стили, изображения, видео и т. д.), которые работают по HTTP. В такой ситуации поисковые системы будут считать ресурс небезопасным и в браузере будут появляться уведомления об этом. Чтобы исправить ошибку, нужно найти все HTTP-ссылки и изменить их на HTTPS. Если вы работаете с WordPress, можно использовать плагины, например Easy HTTPS Redirection и Really Simple SSL. Подробнее о том, как пользоваться этими плагинами, читайте в статье.

Если вы пользователь, исправить эту ситуацию нельзя. Подождите, пока владелец решит проблему или войдите на сайт по HTTP, если вы доверяете ресурсу.

Подключение не защищено в Google Chrome и других браузерах: как отключить ошибку пользователю

Перед тем как делать что-то с настройками устройства, убедитесь, что проблема именно с ним. Откройте страницу на другом ПК или смартфоне. Если на другом устройстве сайт работает, проблема в устройстве. Вы можете попробовать один из способов решения ниже.

На устройстве установлена неправильная дата и время. Для установки соединения между браузером и сайтом важно, чтобы дата и время на обоих устройствах совпадали. Если они не совпадают, может возникнуть ошибка SSL-подключения. Необязательно, чтобы всё было выверено до секунды. Достаточно, чтобы совпадал день и час. Многие браузеры уже научились определять проблему неправильного времени, поэтому можно увидеть сообщение «Часы отстают» или «Часы спешат».

Мешают кэш и куки. Если даже спустя некоторое время веб-ресурс так и не открылся, попробуйте почистить временные данные. Во-первых, в них могла сохраниться старая версия сайта с ошибкой. В этом случае сайт уже может работать по HTTPS, но кэш не даст вам перейти на обновлённую версию веб-ресурса. Во-вторых, переполненная память кеша и cookies влияет на работу браузера и может вызывать ошибки.

Мешают расширения. Если вы недавно установили новые расширения для браузера, попробуйте отключить их или удалить. Иногда они могут нарушать его работу.

Антивирус и брандмауэр мешают соединению. Бывает, что антивирус или брандмауэр блокируют подозрительные сайты. Если вы уверены в безопасности страницы, можете попробовать отключить защиту на некоторое время и попытаться перейти на сайт снова. Однако, программы-защитники редко ошибаются.

Обновите браузер. Старые версии со временем теряют свою работоспособность. Если у вас старый браузер, обновите его.

Проверьте файл hosts. Мошенники умеют проникать в файл hosts на вашем устройстве и менять IP-адреса сайтов. Таким образом можно попасть на сайт-двойник, который сделали злоумышленники. Браузер или антивирус может заподозрить подмену и сообщить о мошеннических действиях. Откройте файл и проверьте его настройки. Если там есть посторонние записи, удалите их. О том, что такое hosts и как им пользоваться читайте в наших инструкциях для разных ОС:

Попробуйте подключиться к другому Wi-Fi. Ошибки могут появляться при использовании публичного Wi-Fi. Некоторые публичные Wi-Fi имеют плохую конфигурацию и не работают по протоколу HTTPS. Попробуйте подключиться к другой сети или используйте VPN.

Что делать, если сообщение о небезопасности наблюдается при переходе в панель управления

Если вы увидели такое сообщение при попытке зайти в панель управления сервером, проигнорируйте его и зайдите по незащищённому соединению. Ваш браузер запомнит правило и в следующий раз не будет выводить предупреждения.

Как подключиться по небезопасному соединению

Ниже мы дадим инструкцию, как подключиться по HTTP к сайту при появлении ошибки «подключение не защищено» в браузерах Google Chrome, Mozilla Firefox и Safari.

Как перевести сайт на протокол https

SSL (англ. secure sockets layer) – это протокол, обеспечивающий безопасную связь. Например, при подключении к сайту банка или интернет магазина, все транзакции шифруются (это ваши логин, пароль, имя, данные кредитной карточки и т.д.). И их никто не может расшифровать без ключа, который только у владельца сертификата.

Для того, чтобы SSL протокол заработал на вашем ресурсе, на сервере должен быть установлен SSL-сертификат, который в свою очередь можно купить или получить бесплатно.

HTTPS (англ. HyperText Transfer Protocol Secure) – это расширение широко используемого и всем известного протокола HTTP, которое поддерживает шифрование. В результате пользователь использует защищенное соединение при совершении финансовых операций и передачи личных данных.

Например, пользователь вводит логин и пароль, а сервер получает их в зашифрованном виде и с помощью своего приватного ключа расшифровывает их.

Буква «S» — расшифровывается как Secured (защищенный). В строке браузера появляется зеленый замок или строка.

Из каких шагов происходит подключение https к сайту? Заказ, переадресация https:// на https://, внутренние замены ссылок и внешняя оптимизация.

Подготовительные работы, которые нужно будет произвести с сайтом до полного перехода на протокол https.

Это важный этап, над которым нужно тщательно поработать. В зависимости от размера и сложности сайта на это потребуется наибольшое количество времени. И только после подготовки приступить к покупке и установке сертификата.

Первое, меняем абсолютные урл на относительные вне зависимости от протокола.

Во-первых, все содержимое сайта (в том числе, картинки, скрипты и иные файлы) должно подгружаться по https. Иначе зеленого значка не будет.

Для этого, перед переходом исправьте, где нужно абсолютные ссылки вида https://www.master-live.ru/contact.html на относительные вида: /contact.html вне зависимости от домена.

Вне зависимости от протокола ссылки заменяются так:

Абсолютная ссылка https://www.master-live.ru/contact.html на относительную //www.master-live.ru/contact.html

Второе, проверяем и меняем ссылки для медиа контента.

Если картинки подгружаются со сторонних сервисов (CDN или другие), то они должны быть с протоколом https.

Такие сайты, как ютуб, вконтакте, фейсбук и другие, встраивающие контент на ваш сайт, используют защищенное соединение и с ними никаких проблем нет.

Третье, исправляем урл подключения внешних скриптов.

Подгружаемые скрипты, которые имеют в адресе простой http, нужно перевести на относительный адрес. Например:

Примечание. Софт для поиска урлов с оставшимися http — SEO Spider или Xenu.

Для WordPress есть плагин HTTP / HTTPS Remover: SSL Mixed Content Fix, который заменит ручную работу переписывания протокола для урл.

Настройки в админке для сайта на вордпресс:

Как видите, подготовительной работы перед переносом может быть много и занять длительное время. Поэтому, сначала подготовьте сайт. Отсюда и стоимость переноса для разных проектов будет отличаться.

1 шаг. Заказ сертификата SSL

Примечание. RapidSSL, QuickSSL Premium, True BusinessID работают с www и без. При заказе сертификата следует указывать домен с www.

Регистрируемся на сайте центра сертификации.

Выбираем и заказываем сертификат для информационных блогов, визиток и других аналогичных) типа Domain Validation — DV.

Генерируем CSR-запрос на сертификат. CSR (Certificate Signing Request) — это запрос на получение сертификата, это текстовый файл, содержащий в закодированном виде информацию об администраторе домена и открытый ключ. Чаще CSR генерируется в процессе заказа SSL-сертификата.

Файл ключа, который у вас получится при генерации CSR-запроса, нужно обязательно сохранить, он вам еще понадобится.

Следующий шаг – оплата.

Затем нужно подождать пока его выпустят (моментально или через несколько дней) и скачать.

После этого можно его установить на сайт. Описание всех шагов и подсказки вас будет сопровождать на каждом этапе.

Большинство популярных хостеров предоставляют панель управления сайтами с этой возможностью. Вы можете обратиться в поддержку или нанять специалиста. Убедитесь, что SSL протокол поддерживается. Если нет, то меняйте хостинг. (Сертификат не привязан к хостеру или айпи, а просто устанавливается там, где будет сайт.)

Примеры установки и настройки бесплатного сертификата Lets Encrypt для разных хостингов.

Пошаговая инструкция бесплатного перевода сайта на хостинге TimeWeb с помощью некоммерческого центра сертификации Lets Encrypt

Справка: Let’s Encrypt — центр сертификации работает с 2015 года. Процесс выдачи сертификатов автоматизирован, выпускаются на 90 дней, регулярные обновления происходят автоматически, но не забывайте контролировать. Подходит для любительских сайтов, также можно применять для сайтов-визиток, которые не собирают и не хранят пользовательские данные.

1 шаг — заказ сертификата у хостера.

2 шаг — настройки в админке таймвеб.

3 шаг — настройка файла .htaccess

1. В админ-панели хостинга таймвеб выберите бесплатную услугу по переводу домена на https-протокол с помощью сервиса Lets Encrypt. Меню: раздел «SSL-сертификаты» — «Заказать (Купить и установить новый сертификат)», выбрать тип «SSL Lets Encrypt». Из списка выбирайте нужный домен, для которого устанавливаете сертификат, отмечаете галочкой «Я согласен» и «Оформить заказ». Хостер пришлет письмо на E-mail о том, что сертификат выпущен и установлен. В панели через несколько минут тоже обновился статус с заказанного на установленный. После этого вам нужно будет настроить и активировать услугу в админке хостера (см. следующий п. 2).
2. Для настройки переадресации вашего сайта на защищенное соединение «https» нужно перейти в меню «Сайты» и выбрать нужный сайт из списка, затем для внесения изменений жмете на шестеренку (это настройка сайта). Для активации выбираете «Использовать Безопасное Соединение //» с помощью переключателя. Затем «Сохранить».

Проверяем здесь: https://www.sslshopper.com или https://www.digicert.com/help/ и видим все данные сертификата, и что он подключен.

Через некоторое время (не сразу) все браузеры покажут зеленый замочек и описание. Нажмите на него и убедитесь, что у вас теперь безопасное подключение и сертификат действительный. Если замочек будет еще серый, то выполняем третий шаг.

Заходим в админку в вордпресс в меню «Настройки» — «Общие» и проверяем две формы «Адрес сайта» и «Адрес сайта WordPress«. Меняем в них протокол на https.

Если вы сделали переадресацию через админ панель хостинга, то ничего менять не нужно. Иначе получится циклическая переадресация.

3. Редактируем файл .htaccess.

В низу файла добавьте строчку: SetEnvIf X-HTTPS 1 HTTPS

Сразу скажу, что на таймвеб мне это не понадобилось, т.к. через минут 5-10 во всех браузерах сайт итак получил зеленый замок и стал отображаться корректно после активации в панели хостера нового протокола.

Также переадресация с http на https произошла автоматически без дополнительных записей с моей стороны. Что проверяем сразу, чтобы наш ресурс был доступен только по новому протоколу.

На заметку: через год обнаружилось, что переадресация 301 не работает. Помогла эта запись в начало файла .htaccess:

4. Редактируем wp-config.php — определяем администратора сайта в новом SSL сертификате

Мое примечание: не увидела никакой разницы с этой строкой и без нее. Поэтому совет оставляю, может кому пригодится, но сама не воспользовалась.

5. Mixed Content — Смешанный контент при небольшом количестве веб-страниц легко проверить в хроме. Ниже я об этом написала в пункте «2 шаг. Что нужно проверить после перехода на защищенное соединение». Также используя плагин HTTP/HTTPS Remover: SSL Mixed Content Fix можно преобразовать ссылки за секунды автоматом. На поиск проблемных ссылок вручную у меня ушло полчаса.

Кстати, в этом же плагине предлагается добавить две строки в файл wp-config.php перед фразой (Далее не редактировать.):

После проведения всех работ пройдет немало времени, возможно около месяца, когда в браузере пользователь увидит одобрение Google в виде слова «Надежный» и видимый для всех протокол HTPPS.

Как получить и установить Let’s Encrypt сертификат на хостинг NIC.RU быстро и бесплатно

Сегодня многие хостеры предлагают быстрое подключение SSL сертификатов одним нажатием мыши, в том числе и бесплатного Let’s Encrypt и автоматическое его продление. Но такой раскрученный хостер, как NIC.RU даже не планирует ввести такую услугу для вебмастеров и представил дорогие варианты. Во всяком случае, так пишут на своем форуме. NIC.RU предлагает акцию по приобретению бесплатного сертификата, если вы покупаете у них, например, продление хостинга. Но из отзывов узнаю, что этот подарок только на один год, далее он превратится в платный.

Вебмастер в такой ситуации может либо сменить NIC.RU на более лояльного хостера или самостоятельно получить Let’s Encrypt. Затем обновлять сертификат каждые 3 месяца.

Мы рассмотрим пошагово второй вариант.

1 шаг. Приобретение сертификата Let’s Encrypt

Заказать его выпуск на сайте https://www.sslforfree.com/, который предлагает б есплатные сертификаты SSL & Free Wildcard SSL сертификаты в считанные минуты

• Вводим адрес сайта и жмем create certificate
• Затем нужно подтвердить права, выбираем manual Verification
• Жмем на зеленую кнопку и нам будет предложено скачать 2 файла (на алиаcы с www и без www) и даны подробные инструкции в какую папку на сервере их положить.
• В корне сайта создаем 2 папки: .well-known/acme-challenge/, куда закачиваем полученные тестовые файлы.
• Затем жмем «Download SSL Certificate»
• На следующем этапе будет предложено скачать архив с сертификатами или скопировать данные для установки (Certificate, Private Key, CA Bundle — (Contains Root And Intermediate Certificates — перевод: Содержит корневые и промежуточные сертификаты), а также следующие пояснения:

Срок действия SSL-сертификатов истекает через 90 дней, поэтому обязательно сгенерируйте свой SSL-сертификат раньше, иначе ваш веб-сайт может перестать работать. Все проверочные папки, файлы или записи TXT также можно удалить, если вы хотите, поскольку они используются только один раз для целей проверки.

• Также для того, чтобы получить уведомление об истечении срока действия и управлять всеми своими сертификатами в одном месте, создайте учетную запись. Вы будете уведомлены за 1 неделю до истечения срока действия сертификата.

Выпуск сертификата Let’s Encrypt состоялся

2 шаг. Установка на хостинг RU-Center

Войдите в панель управления ttps://www.nic.ru/hcp2/sites/ и выберите сайт.

Во вкладке «безопасность» включите переключатель «Защищенное HTTPS-соединение».

Система предложит установить сертификат. Загружайте скачанные файлы сертификата: в окно сертификат — файл certificate, в окно приватный ключ — файл с буквами key на конце. Жмем «установить». Если все прошло успешно, то получим уведомление об успешности установки.

3 шаг. Далее настраиваем сервер и сайт по изученной инструкции выше.

• После проверки сайта на доступность по двум протоколам http и https, мы видим, что автоматической переадресации нет и сайт на nic доступен по обоим протоколам. Следовательно, настраиваем переадресацию с http на https.
• В начало файла .htaccess добавьте строки для редиректа:

Еще эти строки, но у меня и без них все заработало:

SetEnvIf X-HTTPS 1 HTTPS
SetEnvIf X-HTTPS 1 HTTPS=1

• После этого дополнительно в вордпресс (Настройки>> Общие>>Адрес сайта и Адрес сайта WordPress) поменяйте в обеих формах адрес сайта на новый с протоколом https.
• Внимание: если вы выбрали переадресацию http на https в панели хостинга, то менять адреса в «Настройки>> Общие>>Адрес сайта и Адрес сайта WordPress» НЕ НУЖНО. Иначе будет циклическая переадресация и сайт станет недоступным. Не волнуйтесь, это легко исправляется.
• Если в браузере видите предупреждение о том, что подключению к сайту защищено не полностью, то значит вы не все ссылки преобразовали и есть смешанный контент с разными протоколами. Для вордпресс я ставлю плагин HTTP / HTTPS Remover: SSL Mixed Content Fix, который преобразует абсолютные ссылки с протоколом http на относительные без указания протокола сразу после активации.
• Для битрикс читайте документацию CMS.
• Для Joomla в разделе «Общие настройки → Сервер → Включить SSL».
• Для Drupal настройте переадресацию в .htaccess и отредактируйте ссылки.
• Для Opencart в разделе «Сервер → Безопасность» и включите «Использовать SSL», затем добавьте ключ шифрования конфиденциальной информации при обработке заказа.
• Для MODX в разделе «Системные настройки → Система и сервер» в типе сервера поменяйте протокол на HTTPS.
• Далее редактируем robots.txt, меняя протокол HTTPS в sitemap.
• И все внешние сервисы: вебмастер яндекса и google, аналитика, социальные сети. Выше я писала подробную инструкцию по внесению изменений.

Самый быстрый и простой переход на https оказался на хостинге fastvps.ru для сайтов, работающих на Drupal!

]]> ]]>

Особо отмечу, что кроме высокого качества хостинга, здесь супер классная поддержка. Отвечают в любое время суток, я в одно время обращалась только по ночам и никаких проблем с ответами. Ни разу не отправили к создателям cms, куда частенько любят посылать некоторые другие хостеры. Всегда решают положительно все поставленные задачи.

И подключение сертификата порадовало минимализмом — всего 2 быстрых шага и 2 ваших по сео!

Инструкция подключения сертификатов на Fastvps.ru

1 шаг.

Подключаем бесплатный сертификат от Let’s Encrypt по инструкции хостера.

Идем в карточку нужного сайта, затем в разделе « Сертификаты» выбираем из предложенного списка «Let’s Encrypt» и «Сохранить». Все!

Обновление сертификатов Let’s Encrypt будет производиться автоматически.

2 шаг.

Идем в настройки сайта в панели хостера и включаем переадресацию с http на https.

Также включаю http2 – должно ускорить работу сайта.

Шаг 3.

Если не появился зеленый или серый замочек в поисковой строке браузера, то нажимайте на значок рядом с адресом и читайте «сведения о сайте». Будет предупреждение, что ресурс защищен не полностью. Обычно это означает, что на странице смешанный контент, т.е. есть урл с незащищенным протоколом http.

Это могут быть внешние ссылки на счетчики и иные веб-ресурсы.

1) Зайдите в хроме на веб-страницу и справа в браузере нажмите на значок из трех точек «Настройка и управление Google Chrome».

2) Затем выбирайте «Дополнительные инструменты» — «Инструменты разработчика»

3) Выберите вкладку «Security» и в ней увидите информацию по наличию смешанного контента.

После исправления протокола в ссылках, вы увидите, что проблемы смешанного контента больше нет.

Таким образом, при небольшом размере сайта, можно все проверить через хром. Если же у вас опубликовано много материала, то используйте программы SEO Spider или Xenu для поиска ссылок с http.

Шаг 4.

Выполняем все шаги, связанные с Seo.

В яндексе это вкладка «переезд» на https, а в гугл добавляем этот же сайт, но с новым протоколом.

Решение проблем в друпал:

Если возникли проблемы при отображении сайта, то это значит, что не подключились стили и другие файлы.

В друпал исправляется легко. Достаточно внести изменения в файл settings.php:
раскомментируйте строку $base_url и измените протокол:
$base_url = ‘https://имя_вашего_домена’;

Бывает, что разные сайты на друпал и ведут себя по-разному. С одним все на лету получается, и картинки все корректно отображаются с новым протоколом, и страницы. А с контентным ресурсом столкнулась с большим количеством ссылок в статьях (которые когда-то вставилялись в текст вручную) и картинок с http (которые втавлялись через редактор), что помечается как небезопасный смешанный контент.

В итоге, нашла свеженький модуль Search and Replace Scanner, который имеет два поля: поиск и замена.

На оф. сайте https://www.drupal.org/project/scanner

Настройки находятся на странице «конфигурации», найдете в списке. А поиск/замена будет доступна во вкладке «Содержимое», там появится новая вкладка «Search and Replace Scanner».

В первое для поиска вбиваете http, а во второе на что будем менять — https. Настройки оставляем дефолтные. Модуль нашел все ноды с непереведенными ссылками и благополучно заменил в них протокол.

К сожалению, картинки, вставленные ранее через редактор остались в неизменном виде. При этом, во всех настройках стоят относительные ссылки. Массовой замены изображениям сделать не получилось. Остается только точечно заходить в каждую ноду и добавлять в редакторе в урл буковку s.

Если кому-то приходилось сталкиваться с этой проблемой, то с удовольствием воспользуюсь вашим решением! Только напишите!

2 шаг. Что нужно проверить после перехода на защищенное соединение

После установки SSL сертификата убедитесь, что сайт доступен по обоим адресам. Если это не так, то ищите причину. Должен работать и по http, и по https.

Это были работы, связанные с сервером.

Дополнительно проверить на наличие смешанного контента на каждой странице можно в браузере Google Chrome.

• Для этого открываем страницу в хроме и правой кнопкой мыши выбираем «Просмотр кода».
• Справа или внизу будет открыто окно инструментов.
• Нам понадобится вкладка «Security», где можно посмотреть подключенные сертификаты и сообщение о наличии Mixed Content.

Также произвести настройки на сайте:

• отредактировать файл роботс, изменив в урле сайтемапа протокол.
• проверить настройки плагинов.

Что нужно обязательно настроить:

Настройка директивы Host в файле robots.txt

Для яндекса требуется указать главное зеркало, т.к. для него это два разных веб-ресурса. И чтобы оставить в индексе нужный, и прописывается хост в роботсе с указанием нужного протокола.

Нужно настроить редирект 301 с http страниц на https.

В настоящее время можно сразу перенаправить страницы. Раньше нужно было подождать, пока яндекс произведет переклейку и определит главное зеркало. И только после этого прописывать 301 редирект для Google.

Многим серверам подойдет такой код:

RewriteCond % !^443$
RewriteRule ^(.*)$ https://site.ru/$1 [R=301,L]

Или обращайтесь в поддержку хостинга.

Затем проверьте правильность работы по всем пунктам: доступность, редирект, ссылки, картинки и т.д.

Проверить корректности работы веб-сайта на сервисе www.ssllabs.com/ssltest

3 шаг. Оптимизация переезда: Seo действия для того, чтобы не потерять наработанные позиции в поисковых системах.

Оповещение поисковиков о смене протокола.

• В панелях вебмастера яндекса и ]]>Google Search Console ]]>добавьте новый сайт https и подтвердите его. У вас получится два сайта.
• В яндексе есть вкладка » ]]>Переезд ]]> «, где нужно поставить галочку «Добавить HTTPS». Инструкции от яндекса: https://yandex.ru/support/webmaster/yandex-indexing/https-migration.html
• Для Google вы уже сделали 301 редирект, больше ничего не нужно.

В яндекс панели для вебмастера у сайта с HTTP нужно указать главное зеркало HTTPS.

Идем: «Настройка индексирования» — «Главное зеркало» — «Установить протокол HTTPS».

• Все настройки, которые вы делали для старой версии сайта, повторите и для новой. (Это настройки регионов — геотаргетинг, карта сайта Sitemap.xml, ссылки Disawov Tool для Google.)
• Также внесите изменения в Google Analytics и в другие сервисы аналитики и статистики.
• Не забудьте про социальные профили.

На этом все, ждем переиндексации.

Определимся какого типа существую SSL-сертификаты и где их приобрести. А также какой подойдет вашему конкретному ресурсу.

По происхождению различаются два вида:

1. Самоподписанные (Self-Signed) вы можете выпустить и подписать сами. Имеют низкую степень доверия. Браузер будет выдавать предупреждение о том, что не удалось проверить подлинность и то, что с этого сайту лучше уйти. Подходит только для внутренних целей, но не для публичных.
2. Доверительные (Trusted) – выдаются специальными центрами.

Типы с различием уровня проверки:

• Простые – проверяется на соответствие домен (Domain Validation — DV). Заявитель должен иметь право на указанное доменное имя. Почту указывать только в домене или ту, что прописана в whois. Выпуск происходит моментально, но возможно попадание под ручную проверку случайным образом. В этом случае придется подождать. Подойдет для физических и юридических лиц. Хорошо использовать на простых сайтах, визитках, развлекательных и т. д. Цена самая низкая.
• Проверяется организация и домен (Organization Validation — OV). В этом сертификате будет указана организация (ряд соответствий по организации, вашему адресу, городу и пр.) Он не для физических лиц. Выпуск продлится от 3 до 10 дней.
• Расширенная проверка. (Extendet Validation — EV). Это самый дорогой вариант. Проверяется все, что в первых пунктах и дополнительно правовая деятельность субъекта, соответствие фирмы и официальных документов. Подходит для бизнеса, в том числе государственных и некоммерческих организаций. Выпуск от 10 до 14 дней.

Приятная плюшка – это зеленый бар – в адресной строке вы увидите зеленые замочек и надпись о подлинности и безопасности веб-ресурса.

У комодо:

У яндекса:

Виды по цене:

• самоподписные бесплатные,
• платные.

Каждый сертификат имеет дату окончания. Если его в срок не продлить, то сайт может выпасть из индекса. Поисковики считают сайт на http и https разными ресурсами, при этом они оказываются дубликатами.

1. Самый простой и бесплатный – это самоподписной. Его подключить просто. В популярной панели хостинга (Cpanel, ISPmanager и др.) все встроено по умолчанию. Поэтому на этом останавливаться не будем.

Все бы хорошо, но браузер будет выдавать сообщение, что сертификат сайта не является доверенным. Как понимаете, это будет отпугивать пользователя и плохо влиять на поведенческий фактор. Продающим ресурсам он тем более не подходит.

2. Платные сертификаты отличаются от free SSL тем, что все подаваемые данные проверяются сертификационным центром. А значит, ваш посетитель никогда не увидит предупреждения об острожном переходе на веб-страницу.

Реализацией занимаются центры сертификации. Самые популярные – это , , , , . Есть еще много других.

Покупать в крупных центрах невыгодно из-за высокой цены. Лучше приобретать у партнеров, которые скупают их оптом и имеют возможность продать намного дешевле. Это аналогично выбору домена. У партнеров вы приобретаете за 140 рублей, а у крупного регистратора его же за 600 руб. Плюс и продлевать каждый год будете по этим же ценам.

Отличие от количества поддерживаемых доменов и других параметров.

• Цены для обычных сертификатов SSL для всех типов сайтов от 20 у.е в год;
• Цены на SGC сертификаты с повышенным уровнем шифрования от 300 у.е. в год. Подходят для старых компьютеров.
• Wildcard сертификаты, которые поддерживают шифрование и под-доменов стоят от 180 у.е. в год. Его выгодно ставить при большом количестве под-доменов. Иначе дешевле отдельно.
• SAN сертификаты на несколько доменов (количество кратно 5) – 395 у.е. в год.
• EV сертификаты – с плюшкой зеленого бара в адресной строке стоят от 250 у.е. в год.

Где найти самые дешевые сертификаты

Советов в интернете много, поэтому о каждом нужно почитать отзывы, о плюсах и минусах.

Вот несколько центров с низкими ценами: Geotrust (выгодно брать SAN для разных доменов), RapidSSL (с проверкой только домена и wildcard), Geotrust (EV – с зеленой строкой в браузере), Thawte (SGC для устаревшей техники).

Comodo – недорого при покупке на несколько лет.

StartSSL – бесплатные для некоммерческих ресурсов.

Сертификаты для кириллицы – поддержка IDN доменов

Использование https на сайте с кириллицей в имени домена усложняется тем, что не все центры поддерживают их и не всегда эта опция есть в описании сертификата. В этих центрах, как Thawte и Symantec, вы решите эту задачу. Например, посмотрите на Thawte SSL123 Certificate или Symantec Secure Site. Также там есть еще несколько аналогичных.

Какие отличия могут быть между различными центрами

1 отличие – в каком количестве браузеров установлен корневой сертификат. Если корневого не будет в браузере, то при входе на сайт с Https все равно увидите ошибку. В списке выше (Comodo, Geotrust, Symantec, Thawte, Trustwave ) охват всех браузеров почти 100%.

В хроме «настройки — показать дополнительные настройки – настроить сертификаты — доверенные корневые центры сертификации» можно посмотреть сколько установлено и какой срок действия. Они обновляются автоматически вместе с браузером. Мы этот процесс не замечаем.

В каждом центре также есть ссылки на скачивание нового корневого сертификата.

2 отличие — цена.

Практический пример покупки и установки SSL

Рассмотрим покупку сертификата в Comodo, тип PositiveSSL.

Comodo Positive SSL на сегодня самый доступный по цене и при этом надежный. Выпуск этого вида происходит в течение нескольких минут.

Полезные ссылки для проверки данных и генерации ключа

· OpenSSL — самая распространенная утилита для генерации открытого ключа (запроса на сертификат) и закрытого ключа.
https://www.openssl.org/

· CSR Decoder — утилита для проверки CSR и данных, которые в нем содержаться, рекомендую использовать перед заказом сертификата.

Перевод сайта на защищенный протокол. Пошаговое руководство

Автор: Константин Гайдук, независимый специалист по продвижению сайтов. В SEO с 2010 года. Работает в Москве.

С июля 2018 года абсолютно все сайты, использующие обычный незащищенный протокол http, начали помечаться в Гугл Хроме, одном из самых популярных браузеров, как ненадежные. Именно поэтому переход на https сейчас наиболее актуален.

https — это протокол, по которому передача данных между пользователем и сервером, на котором расположен ресурс, происходит в зашифрованном виде. Шифрование необходимо для того, чтобы третьи лица не могли получить доступ к передаваемым в сети конфиденциальным данным — от поисковых запросов до пин-кодов банковских карт.

Какие бывают виды сертификатов?

Классификация сертификатов, их возможности и отличия, уже много раз освещались. С практической точки зрения можно отметить только, что для большинства пользователей важно деление на платные и бесплатные. Самый популярный из бесплатных — Let’s Encrypt. Установка такого сертификата обычно требует минимальных усилий (несколько кликов в панели управления хостингом) и обычно предоставляется хостингами и регистраторами бесплатно. Let’s Encrypt можно выписать не только для домена, но и для поддоменов сайта.

В процессе работы было сделано интересное наблюдение: Let’s Encrypt предлагают наиболее качественные хостинги с ценником выше среднего по рынку. В более дешевых можно установить, как правило, только платные сертификаты.

Перевод сайта на защищенный протокол по шагам

1. Выпуск SSL-сертификата осуществляется либо через хостинг, либо через регистратора домена (если домен зарегистрирован через хостинговую компанию, только через хостинг).

2. Адреса внутренних ссылок в контенте сайта меняем на новые (в том числе адреса изображений). Там, где было http://site/url, должно стать https://site/url. Если страниц очень много, есть смысл изучить структуру базы данных с целью поиска возможности массовой замены.

Например, типовой случай для Вордпресса:

• во всех меню сайта,
• сквозных блоках,
• ссылки в разделе head страницы на файлы стилей, скрипты, шрифты.

4. Ссылки на внешние ресурсы должны быть указаны с учетом наличия сертификата безопасности.

Например, шрифты Гугл доступны по двум адресам:

Необходимо указать адрес с сертификатом.

Если внешний ресурс доступен только по незащищенному протоколу, то адрес необходимо указать так:

5. Проверка в Браузерах

• Открываем каждую страницу сайта в Mozilla Firefox и проверяем не высвечивается ли ошибка рядом с адресом сайта:

Если страниц на сайте много, проверяем выборочно.

• Открываем каждую страницу сайта в Google Chrome и проверяем, не высвечивается ли ошибка рядом с адресом сайта (если страниц много, также проверяем выборочно). При проверке в этом браузере страницы необходимо обновлять каждый раз при открытии.Также в Гугл Хроме нужно следить за появлением иконки справа от адреса:

При наведении курсора мыши на иконку, всплывает сообщение «Страница пытается загрузить скрипты из непроверенных источников».

Если на сайте есть скрипт, ссылающийся на незащищенный ресурс, Гугл Хром по умолчанию его не загрузит. На сайте, например, может перестать работать форма обратной связи или что-то другое.

Идентифицировать проблемный скрипт можно, вызвав в Гугл Хроме «Инструменты разработчика» (сочетание клавиш Ctrl + Shift + I) и открыв вкладку «Console»:

6. Если адрес сайта в числе прочих настроек указывается в административной панели, как, например, делается в Джумле и Вордпрессе, необходимо там поменять на версию с защищенным протоколом.

В ряде случаев протокол может задаваться в файле конфигураций. Для Вордпресса это wp-config.php:

7. Устанавливаем в файле .htaccess 301 редирект со всех http-адресов страниц на соответствующие новые адреса с https.

В некоторых случаях необходимо прописать такое выражение:

В некоторых:

8. Устанавливаем 301 редирект на новую версию сайта с других (неглавных зеркал), если таковые имеются.

Например, если ранее редирект с неглавного зеркала:

http://site.ru/ стоял на http://www.site.ru/

То теперь нужно проставить редиректы с обоих зеркал на https://site.ru/

Тоже самое относится и к редиректам http://oldsite.ru/ https://newsite.ru/

9. Если в файле .htaccess были редиректы с одного раздела на другой (с одной страницы на другую и т.д.), то необходимо поправить, чтобы стояли прямые редиректы на страницу/раздел с защищенным протоколом.

10. Сканируя весь сайт, проверяем, не осталось ли ссылок с редиректами. Исправляем на прямые ссылки.

11. Создаем новую карту сайта sitemap.xml и загружаем на сервер.

12. В файле robots прописываем новый адрес карты сайта.

13. Добавляем сайт с защищенным протоколом в панель Яндекс.Вебмастера. В разделе «Переезд сайта» указываем новое главное зеркало. Загружаем обновленную карту сайта.

14. Добавляем сайт с защищенным протоколом в панель Google Search Console. Загружаем обновленную карту сайта.

Результаты переезда сайтов на защищенный протокол в чистом виде

В большинстве примеров, приводимых в сети, есть оговорка, что над сайтом проводились и другие работы, кроме перехода на https, поэтому невозможно увидеть влияние переезда в чистом виде. Для своих собственных двух проектов мне удалось зафиксировать влияние перехода на https в чистом виде, поскольку никаких мероприятий ни по внешней, ни по внутренней оптимизации в отмеченные периоды не проводилось. Оба сайта коммерческие, регион — Москва. Восклицательным знаком отмечен день перехода. В каждом случае на графике — динамика изменения средней позиции сайта по презентативной выборке релевантных ключевых фраз.

Сайт 1, Яндекс:

Сайт 1, Google:

Сайт 2, Яндекс:

Сайт 2, Google:

Таким образом подтверждаются известные истины о том, что https является фактором ранжирования в Гугле, и что, несмотря на внимание Янедкса этому вопросу и взаимодействие с пользователями, переезд в этой поисковой системе может привести к непредсказуемым результатам (как к спаду позиций на примере сайта1, так и к повышению на примере сайта 2).

Как бы там ни было, работа сайтов на защищенном протоколе — это будущее, которое уже наступило. Если ранее переход был для многих сайтов лишь делом личного выбора вебмастера или владельца, то с июля 2018 — стал объективной необходимостью для всех.