Чтобы перейти на HTTPS, нужно выпустить SSL-сертификат для домена, установить его на хостинге, настроить постоянный 301-редирект со всех HTTP-адресов, исправить ссылки на ресурсы внутри сайта и сообщить поисковикам о смене главного зеркала. При аккуратной работе позиции не проседают, а браузеры перестают пугать посетителей предупреждениями.
Зачем сайту HTTPS в 2026 году
SSL-сертификат (точнее, TLS — SSL давно устарел, но название прижилось) шифрует данные между браузером посетителя и сервером. Без него всё, что человек вводит в форму — имя, телефон, почта, пароль, — передаётся открытым текстом и может быть перехвачено, например в общественной сети Wi-Fi.
Для бизнеса важны три практических последствия:
- Доверие. Chrome, Яндекс Браузер и Safari помечают HTTP-сайты как «Не защищено», а на страницах с формами предупреждение становится ещё заметнее. Часть посетителей просто закрывает вкладку.
- Поиск. Яндекс и Google учитывают защищённость соединения. HTTPS не выведет сайт в топ сам по себе, но его отсутствие — лишний минус на фоне конкурентов.
- Закон и сервисы. Если сайт собирает персональные данные, шифрование канала — одна из базовых мер защиты. Кроме того, многие платёжные модули, виджеты и API работают только по HTTPS.
Какой сертификат выбрать
Для большинства сайтов малого и среднего бизнеса выбор сводится к трём вариантам. Все они шифруют трафик одинаково надёжно, различаются проверкой владельца, сроком действия и удобством.
| Тип | Что проверяется | Кому подходит |
|---|---|---|
| DV (Domain Validation), в том числе бесплатный Let’s Encrypt | Только право управлять доменом | Сайты-визитки, лендинги, блоги, большинство корпоративных сайтов |
| OV (Organization Validation) | Домен и существование организации | Компании, которым важно показать юрлицо в данных сертификата |
| Wildcard (*.domain.ru) | Домен, покрывает все поддомены одного уровня | Сайты с поддоменами городов, личным кабинетом, отдельным магазином |
Бесплатный сертификат Let’s Encrypt выпускается на 90 дней, но почти все российские хостинги и панели (ISPmanager, cPanel, Timeweb, Beget, REG.RU и другие) продлевают его автоматически. Платные сертификаты стоят от нескольких сотен до десятков тысяч рублей в год в зависимости от типа и центра сертификации — цены сильно разнятся, уточняйте у продавца.
Отдельно о российских сертификатах
С 2022 года существует национальный удостоверяющий центр Минцифры. Его сертификаты по умолчанию признаёт Яндекс Браузер, а остальные браузеры — только после установки корневого сертификата пользователем. Для публичного коммерческого сайта основным обычно остаётся сертификат от международного центра или Let’s Encrypt; российский имеет смысл как дополнительный, если этого требуют партнёры или госинтеграции.
Подготовка: что сделать до переключения
Самые неприятные проблемы при переходе возникают не из-за сертификата, а из-за того, что никто не посмотрел на сайт заранее. Потратьте час на подготовку.
- Сделайте полную резервную копию файлов и базы данных. Если что-то пойдёт не так с редиректами, откат займёт минуты.
- Соберите список всех адресов сайта: выгрузите карту сайта, отчёт «Страницы в поиске» из Яндекс Вебмастера и «Индексирование» из Google Search Console.
- Проверьте поддомены: www, m., shop., lk. — сертификат должен покрывать все, которые открываются у посетителей.
- Найдите жёстко прописанные http://-ссылки в шаблоне, настройках CMS, текстах и сторонних скриптах (счётчики, чаты, карты, шрифты).
- Выберите время с минимальной посещаемостью — в Яндекс Метрике это легко увидеть по отчёту «Посещаемость» с разбивкой по часам.
Пошаговый переход на HTTPS
1. Выпустите и установите сертификат
В панели хостинга найдите раздел «SSL-сертификаты», выберите домен и включите Let’s Encrypt или загрузите файлы купленного сертификата (сам сертификат, приватный ключ и цепочку промежуточных сертификатов). После установки откройте сайт по адресу с https:// — он должен загрузиться без предупреждений.
2. Переключите адрес сайта в CMS
- WordPress: «Настройки» → «Общие» — замените http на https в полях «Адрес WordPress» и «Адрес сайта». Затем замените старые адреса в базе данных плагином поиска и замены или через WP-CLI командой
wp search-replace 'http://site.ru' 'https://site.ru'. - 1С-Битрикс: в настройках главного модуля и в параметрах сайта укажите URL с https, проверьте поле «URL сервера».
- Tilda: в настройках сайта в разделе «Домен» включите HTTPS — сертификат Tilda выпускает сама.
3. Настройте 301-редирект
Каждый HTTP-адрес должен постоянно (кодом 301) перенаправлять на такой же HTTPS-адрес — не на главную. Для Apache это делается в файле .htaccess, для nginx — отдельным блоком server с return 301 https://$host$request_uri;. Одновременно определитесь с www: должен остаться один вариант, и все остальные — вести на него одним прыжком, без цепочек http → https → www.
4. Исправьте смешанное содержимое
Если страница открыта по HTTPS, а картинка, скрипт или шрифт загружаются по HTTP, браузер покажет замок с предупреждением или вовсе заблокирует ресурс. Откройте инструменты разработчика (F12) → вкладка «Консоль» — там будут строки Mixed Content. Замените такие ссылки на https или на относительные.
5. Включите HSTS — но не сразу
Заголовок Strict-Transport-Security заставляет браузер всегда открывать сайт по HTTPS. Это полезно, но отменить его быстро нельзя. Включайте HSTS через неделю-две, когда убедитесь, что всё работает, и начинайте с небольшого max-age.
Как сообщить поисковикам о переезде
Поисковики сами найдут редиректы, но процесс можно ускорить и сделать предсказуемым.
Яндекс Вебмастер
- Добавьте HTTPS-версию сайта как отдельный сайт и подтвердите права.
- В старой версии откройте «Индексирование» → «Переезд сайта» и отметьте «Добавить HTTPS». Это сигнал, что главное зеркало меняется.
- Обновите карту сайта: все адреса в sitemap.xml должны начинаться с https.
- Следите за отчётом «Страницы в поиске»: адреса будут постепенно меняться. Обычно склейка занимает от нескольких недель до пары месяцев.
Google Search Console
Добавьте ресурс на уровне домена (через DNS-запись) — тогда он охватит и HTTP, и HTTPS. Отправьте новую карту сайта и проверьте несколько ключевых страниц инструментом проверки URL.
Остальное
- Обновите адрес в Яндекс Бизнесе, профилях соцсетей, каталогах и объявлениях Яндекс Директа — там, где у вас есть доступ.
- В Яндекс Метрике поменяйте адрес сайта в настройках счётчика, чтобы корректно работали Вебвизор и карта кликов.
- Проверьте файл robots.txt: директива Sitemap должна указывать на https-адрес.
Проверка после переезда: чек-лист
- HTTP-адрес любой страницы отдаёт 301 и ведёт на ту же страницу по HTTPS одним прыжком.
- В консоли браузера нет ошибок Mixed Content ни на главной, ни в каталоге, ни в корзине.
- Формы отправляются, заявки приходят на почту и в CRM.
- Платёжный модуль, онлайн-чат, виджет обратного звонка работают.
- Канонические ссылки (rel=»canonical») и hreflang указывают на https.
- Цели в Яндекс Метрике продолжают срабатывать.
- Сертификат продлевается автоматически — проверьте дату окончания и включите уведомления хостинга.
Отдельно проверьте скорость: современные протоколы HTTP/2 и HTTP/3 работают только поверх HTTPS, так что после переезда сайт нередко становится быстрее. Посмотреть результат удобно в PageSpeed Insights, подробнее о метриках — в статье про Core Web Vitals и скорость сайта.
Типичные ошибки
- Редирект всех страниц на главную. Поисковик теряет связь старых и новых адресов, позиции страниц падают.
- Временный 302 вместо 301. Склейка затягивается, в индексе живут обе версии.
- Забытый сертификат. Если автопродление сломалось, в один день сайт начнёт показывать полноэкранное предупреждение, и трафик обвалится.
- Запрет индексации HTTPS-версии в robots.txt, оставшийся с тестового стенда.
- Сертификат без промежуточной цепочки. На компьютере всё открывается, а на части телефонов — ошибка.
Частые вопросы
Упадут ли позиции после перехода на HTTPS?
При правильных 301-редиректах и уведомлении через Яндекс Вебмастер серьёзных потерь обычно нет. Возможны небольшие колебания на время склейки зеркал — это нормально. Проблемы возникают, когда редиректы настроены на главную, остаются цепочки или часть страниц отдаёт ошибки.
Хватит ли бесплатного сертификата?
Для подавляющего большинства сайтов — да. Let’s Encrypt шифрует трафик так же надёжно, как платные DV-сертификаты. Платный имеет смысл, если нужна проверка организации, особые условия гарантии или если хостинг не поддерживает автоматическое продление бесплатных сертификатов.
Сколько времени занимает переход?
Техническая часть для небольшого сайта — от получаса до нескольких часов. Больше времени уходит на поиск жёстко прописанных ссылок и проверку всех функций. Склейка в поисковиках занимает от нескольких недель до пары месяцев, но сайт всё это время работает.
Нужно ли что-то менять в рекламе?
Желательно обновить ссылки в объявлениях Яндекс Директа и других систем на https-версию. Редирект сработает и так, но лишний прыжок замедляет загрузку и иногда ломает UTM-метки. Заодно проверьте, что цели и метки корректно передаются в Метрику.
Что делать, если сайт на HTTPS показывает «замок с восклицательным знаком»?
Почти всегда это смешанное содержимое: какой-то ресурс грузится по HTTP. Откройте консоль браузера, найдите предупреждения Mixed Content и замените адреса. Часто виноваты старые картинки в текстах, сторонние виджеты или ссылки, прописанные в настройках темы.
Если не хочется разбираться с редиректами и базой данных самостоятельно, специалисты Pear Advert переведут сайт на HTTPS и проверят его после переезда в рамках технической поддержки сайта. Нужен надёжный сервер с автоматическим продлением сертификатов — подберём его в рамках услуги аренды сервера и хостинга.
