SSL-сертификат и HTTPS:
проверка, установка и цена ошибки.

Переход на оплату, который обрывается на середине

Клиент студии, сервис по ремонту техники, пятого сентября включил рекламу на одностраничник. За первые сутки Метрика показала 380 визитов, а форма заявки — ноль отправок. Причина нашлась в строке адреса: Chrome писал «Не защищено», а платёжный виджет отказался грузиться, потому что работает только по защищённому протоколу.

Заявок не было ни из-за цены, ни из-за текста. Предупреждение рядом с адресом решает раньше, чем человек дочитает оффер: из 380 визитов до формы дошли 60, остальные закрыли вкладку в первые секунды.

Четыре проверки, которые займут десять минут

Диагностика не требует доступа к коду. Смотрите на строку адреса и на ответ сервера, а не на внешний вид страницы.

• Строка адреса. Слева от домена должен стоять замок. Надпись «Не защищено» или треугольник с восклицательным знаком означает, что сертификат не выдан, просрочен или покрывает другой адрес.
• Онлайн-проверка сертификата. Введите домен в SSL Labs: оценка ниже A и упоминание протокола TLS 1.0 говорят, что шифрование держится формально.
• Цепочка и поддомены. Откройте адрес с www и без www: если один вариант ругается или ведёт на другую копию сайта, сертификат закрывает только часть адресов.
• Формы и оплата. Отправьте тестовую заявку с телефона при выключенном Wi-Fi: без защищённого протокола капча и часть внешних модулей не загружаются.

Почему замок не появляется: три группы причин

Первая группа — продление. Сертификат Let's Encrypt живёт 90 дней, и половина сбоев выглядит одинаково: автообновление по расписанию не сработало, чаще всего после переезда сайта или смены DNS.

Вторая группа — смешанный контент. Страница отдаётся по https, а картинки, шрифты и скрипты подтягиваются по http. Chrome считает документ небезопасным и убирает замок, хотя сертификат формально действует. Достаточно одного старого баннера в шаблоне.

Третья группа — цепочка и покрытие. Промежуточный сертификат не подгружен, и Firefox показывает предупреждение, пока Chrome молчит. Или домен с www не попал в список, и половина посетителей попадает на ошибку.

Цена бездействия: считаем на одном лендинге

Возьмём тот же одностраничник: 3 000 визитов в месяц и цена клика 45 ₽, значит 3 000 × 45 = 135 000 ₽ рекламного бюджета.

Без замка до формы доходит 1 % от 3 000 = 30 заявок. В договор уходит 30 процентов: 30 × 0,3 = 9 клиентов при среднем чеке 18 000 ₽, то есть 9 × 18 000 = 162 000 ₽ выручки.

С работающим шифрованием конверсия 2,5 % от 3 000 = 75 заявок, при том же закрытии 75 × 0,3 = 22,5 клиента и 405 000 ₽ выручки. Разница: 405 000 − 162 000 = 243 000 ₽ в месяц. При марже 40 процентов это 243 000 × 0,4 = 97 200 ₽ недополученной прибыли ежемесячно.

Куда это ведёт при бездействии

Сам по себе сбой не рассосётся: истёкший сертификат не продлевается, а поисковики помечают сайт как небезопасный для посетителя.

Метрики проседают быстро. На странице с предупреждением отказы держатся на уровне 80–90 процентов, глубина просмотра около единицы, и такие сигналы тянут позиции вниз.

Интеграции отключаются по одной: платёжный модуль, онлайн-чат и капча работают только по https. К шестому месяцу сайт теряет часть индекса, а трафик уходит к конкурентам с замком.

План на вечер: что закрывается своими руками

Пять шагов ниже выполнимы без программиста, если есть доступ к панели хостинга.

1. 01Проверьте срок действия и включите автообновление: у бесплатного сертификата продление раз в 90 дней, у платного — раз в год.
2. 02Уберите смешанный контент: найдите в коде страницы адреса через http и замените на https, начав с картинок и шрифтов.
3. 03Настройте редирект 301 с http на https и с версии без www на основную, чтобы у страницы не было двух адресов.
4. 04Добавьте записи, подтверждающие владение доменом: тогда сертификат покроет и поддомены.
5. 05Проверьте результат: пройдите форму и оплату с телефона и посмотрите в консоли браузера, что предупреждений про небезопасный контент больше нет.

Что нельзя исправить самому: что дальше

Панель хостинга закрывает продление, редирект и базовые записи. Дальше начинается зона, где ошибка стоит дороже сэкономленных часов.

Нестандартная конфигурация. Несколько доменов, поддомены услуг, отдельный сервер под приложение: одна ошибка в цепочке возвращает пометку «Не защищено» на часть адресов, и найти её по внешнему виду нельзя.

Перенос между площадками. При смене хостинга сертификат, ключи и записи переносят и связывают заново, иначе автообновление молча ломается через два месяца, уже без автора правок.

Интеграции. Платёжные модули, вебхуки и внешние сервисы требуют корректной цепочки и современной версии протокола: настройка вслепую даёт потери в заявках, которые замечают не сразу.

Как работу ведёт студия и из чего складывается смета

Порядок такой: разбор защищённого соединения, выпуск и установка сертификата, чистка смешанного контента, редиректы, перенос ключей при смене хостинга, проверка интеграций в браузерах на телефоне и компьютере.

Начать можно с разбора сайта, который Максим Холмов проводит без оплаты: 0 ₽ и перечень замечаний по очерёдности. Дальше смета зависит от состава: одностраничник от 10 000 ₽, сайт из разделов от 30 000 ₽, магазин от 80 000 ₽, CRM от 150 000 ₽, бот от 100 000 ₽, приложение от 150 000 ₽.

Сроки: одностраничник 2–5 рабочих дней, многостраничный сайт 10–20. Первый квартал после сдачи проект ведётся без платежей, затем от 5 000 ₽ в месяц.

Решение: замок проверяют до запуска рекламы

Защищённое соединение не улучшает дизайн, но без него внешние модули не работают, а посетитель видит предупреждение вместо страницы с ценами.

Начните с четырёх проверок из второго блока: они бесплатны и занимают десять минут. Если сертификат закрывает только часть адресов, адресов несколько или в проекте есть платёжный модуль, разумнее пройти разбор и получить план, чем править цепочку наугад.