Переезд с HTTP на HTTPS

Станислав Кузнецов

Что такое HTTPS

HTTP – это алгоритм действий, совершаемых клиентом и сервером поочередно: пользователь делает запрос, сервер обрабатывает его и отвечает согласно инструкции.

HTTPS – это расширение HTTP, а не автономный протокол. Создан он в 2000 году с целью шифрования приватных данных и обеспечения безопасности. Необходимость его использования повышена в рамках пользования электронными платежными системами, социальными сетями и интернет-магазинами, то есть теми ресурсами, которые требуют предоставления персональной информации.

Личное отношение пользователей к платформам, использующим защищенное соединение, более благоприятное, чем к тем, которые ещё не переехали на HTTPS. Собственникам сайтов важно учитывать этот факт с целью повышения трафика и увеличения масштабов деятельности интернет-ресурса. Большинство пользователей не вернутся на сайт, запрашивающий платежные данные, пароли или идентификацию, используя небезопасный протокол HTTP.

Выбор сертификата

Работа HTTPS осуществляется совместно с цифровыми сертификатами SSL и TLS, осуществляющими криптографическое шифрование передаваемых данных. Расширение протокола не требует дополнительной установки в браузере, оно поддерживается ими автоматически и используется при необходимости.

И SSL, и TLS – это протоколы кодировки данных, обеспечивающие достаточную надежность сайта, исключающие захват данных третьими лицами и активирующие HTTPS. Их различие состоит в том, что TLS был разработан на основе SSL и является его улучшенной версией. TLS сертификат менее уязвим и, ввиду этого, более предпочитаем.

HTTPS и SSL работают сообща, выполняя задачи по кодировке данных и их защищенной транспортировке между пользователями. Собственникам сайтов рекомендуется приобретать цифровой сертификат, даже если деятельность ресурса не связана с финансовыми операциями и не предполагает запрос личной информации, так как наличие дополнительной защиты влияет на ранжирование в поисковых системах.

Кроме того, безопасные сайты помечены маркером «надежно» в адресной строке, что формирует положительное отношение пользователей к платформе. Яндекс отрицает зависимость места в поиске от наличия безопасных расширений, но, как показывает практика, это не так.

Показатели эффективности SSL – это уровень шифрования и сертификационные стандарты. За отправную точку принято 128-битное шифрование, поэтому классификация начинается с этой отметки. Сертификационные стандарты предполагают работу SSL, направленную на проверку достоверности данных сайта и легальность его деятельности.

Сертификаты бывают платными и бесплатными. Самоподписной (бесплатный) – генерируется на сервере. Для этого после оформления соответствующего запроса клиенту будет задан ряд вопросов о целях и строении сайта. На основании полученных сведений будет создан сертификат безопасности SSL. После этого пользователю выдается 2 ключа – публичный и приватный.

В ключе общего доступа содержится информация о доменном имени, собственнике домена, юридическом адресе организации-собственника, а также международный двухбуквенный код страны и контакты службы поддержки.

Минус использования такого сертификата состоит в том, что браузеры не рассматривают его как заслуживающий доверия и выдают страницу с ошибкой. Это отрицательно влияет на трафик, потому что формирует негативное мнение пользователей и снижает вероятность возврата на сайт, поэтому использовать самоподписные SSL желательно только для внутренних целей.

Платные сертификаты выпускают центрами сертификации. Выбор конкретного центра зависит от индивидуального предпочтения пользователя, в основе которого лежит информация о цене. Среди известных центров сертификации базой для их классификации является стоимость продукции. Для рядового пользователя более выгодно приобретать сертификаты безопасности через партнеров, которые предлагают цену ниже по сравнению с предлагаемой главным источником.

Основная информация, содержащаяся в сертификате, которую проверяет браузер, прежде чем открыть клиенту доступ к сайту, включает:

• срок действия сертификата;
• кем выдан;
• соответствие сайта, указанного в сертификате и сайта, использующего сертификат. 

Классификация сертификатов по уровню верификации включает следующие типы:

• с проверкой только доменного имени (недорогие сертификаты, генерируются мгновенно и автоматически, центр сертификации проверяет только доменное имя и возможность его использования, то есть свободен он или нет);
• с проверкой организации (стоят дороже, выпуск занимает от 3-х до 10-ти дней, процедуры выдачи включает проверку деятельности организации, ее законности, принадлежность доменного имени именно этой организации);
• с расширенной проверкой (самые дорогие, выпускаются в срок от 10-ти до 14-ти рабочих дней, включают тотальную проверку деятельности организации и подтверждение исключительности прав на запрашиваемое доменное имя). 

Создателей интересует более конкретная классификация по свойствам, так как в соответствии с ними осуществляется выбор необходимого SSL: 

• обычные (недорогие, с проверкой только доменного имени);
• SGC (в настоящее время не используются, так как уровень кодировки не превышает 40 или 56 бит);
• Wildcard (актуален при желании использовать один сертификат для нескольких поддоменов);
• SAN (подходит для применения одновременно на нескольких доменах, число доменов равно 5 по умолчанию);
• EV (самые дорогие, имеют функцию «green bar», предполагающую указание названия центра сертификации в адресной строке на зеленом фоне, уровень доверия – максимальный).

Установка сертификата

Процесс приобретения сертификата описан выше. На следующем этапе необходимо активировать полученный сертификат. Для этого в форму активации вводим сгенерированный приватный ключ CSR, отправляем данные. Далее проходит процедура верификации с указанием почты, на которую приходит письмо, содержащее шифр и адрес страницы, на которую его необходимо ввести. По завершении этих действий сертификат активируется.

Установка сертификата на сайт производится разработчиками хостером, во избежание возникновения проблем с инсталляцией. В целом, процесс установки сертификата зависит от ПО, установленного на сервере и индивидуален в каждом конкретном случае. Алгоритмы установки сертификатов безопасности находятся в открытом доступе, главное – выбрать соответствующее программное обеспечение, используемое на сервере, чтобы не столкнуться с различными ошибками в процессе.

Переезд с HTTP на HTTPS

После установки SSL сертификата можно начинать подготовку к переезду на HTTPS. Для этого важно сделать:

1. Изначальная ссылка	Относительная ссылка
   http://namename.com/feed/	/feed/

2. 301 перенаправление

   Следующий шаг включает внесение изменений в файлы .htaccess и robots.txt. Открыть их нужно в текстовом редакторе, находятся они в корневой папке сайта. В .htaccess нужно внести следующие изменения (содержание может отличаться, но чаще всего используется именно такое), чтобы настроить 301 перенаправление с URL с HTTP на URL с HTTPS:

   RewriteEngine On RewriteCond %{HTTP_HOST} ^(www\.)?namename\.com$ [NC] RewriteCond %{HTTP:X-Forwarded-Proto} !=https RewriteRule ^(.*)$ https://namename.com/$1 [R=301,L]

3. В robots.txt в директивах Host и Sitemap заменить название сайта с http://namename.com на https://namename.com.
4. Изменения в Яндекс.Вебмастер:
   

   В панели Яндекс.Вебмастер на вкладке Переезд сайта ставим галочку «Добавить HTTPS»

Последний шаг предполагает устранение ошибок, на которые укажет браузер.

Возможные проблемы

В первую очередь важно помнить, что для того, чтобы поисковые системы не воспринимали переезд как создание нового сайта, что повлечет безвозвратное обнуление всех показателей активности, нужно грамотно настраивать редирект. Удалять старый сайт после переезда нет необходимости.

Разработчики советуют осуществлять переезд не в основной сезон, так как при установке расширения протокола наблюдаются потери в трафике. Поток клиентов возобновляется, но момент уже упущен, что негативно сказывается и на работе сайта, и на прибыли собственника. Обнуление тематического индекса цитирования – частая проблема при установке расширенного протокола, однако все показатели восстанавливаются в течение месяца.

Иногда возникает проблема смешанных протоколов. Это означает, что сайт одновременно работает и с HTTP и с HTTPS, в этом случае браузеры выдают ошибку из-за распознавания сайта как ненадежного.

Поисковики не дают никаких гарантий, что после переезда сайт не потеряет своих позиций. Косвенно повлиять на это можно, добавив новую версию сайта на вебмастер-панели всех поисковиков (сделать это можно на вкладке «Переезд сайта», установив галку на «Добавить HTTPS»), а также проконтролировать смену доменного имени в файле robots.txt.

Проверка

Понять, что переезд сайта успешно завершен можно, получив уведомление о смене главного зеркала для сайта, а также при смене вкладки «Переезд сайта» на «Отклейка зеркал».

Кроме того, в начале адресной строки появится зеленый замок – знак безопасности интернет-соединения. В зависимости от установленного SSL сертификата, кроме замка может отображаться название компании, выпустившей сертификат, либо организации-собственника сайта.