Как получить и установить бесплатный ssl сертификат для сайта

Где купить SSL-сертификат

Платные SSL выпускают разные центры сертификации, самые распространенные: Comodo, IdenTrust, Symantec Group, GeoTrust.

Перед покупкой выберите, какой тип сертификата вам нужен, они бывают:

1. С защитой домена. Подходят небольшим сайтам, не требуют долгих проверок, выпускаются в среднем за 15-30 минут.
2. С защитой субдомена (Wildcard SSL). Защищает основной домен (www.site.ru) и его субдомены (www.m.site.ru или www.blog.site.ru).
3. С проверкой организации. Подтверждает легальность бизнеса. Стоит дороже, чем первые 2 вида, выпускается дольше, так как требует дополнительных проверок.
4. С зеленой строкой. Самый дорогой вид SSL, его используют крупные компании, транснациональные корпорации, некоторые банки и госучреждения. Название компании указано в адресной строке, а сама строка подсвечена зеленым.

Чаще всего сертификат можно купить там же на хостинге либо на сайте выбранного центра сертификации. Но на хостинге проще и можно попросить помощь у техподдержки + обычно у каждого хостера есть подробная инструкция по выпуску и установке сертификата.

Почему бесплатный сертификат?

Есть несколько видов SSL сертификатов. Чем круче — тем больше компенсация вам на случай, если кто-то взломает соединение, и еще в браузере будет писаться название вашей компании.

Для малого бизнеса это совершенно не нужно. Все, что нам нужно – самый простой сертификат(Essential). Он всего лишь позволяет установить защищенное соединение с вашим сайтом и удостовериться, что посетитель на нем.

Так почему же бесплатный? Потому что покупая этот самый простой сертификат за деньги вы платите за воздух. Никаких сложных вычислений не происходит. Все делается автоматически. Даю зуб, что на сервере за 300 руб/мес. можно сгенерировать сертификаты для всего Рунета максимум за 1 месяц, если не 1 день.

А почему же тогда их продают за деньги, спросите вы? Да просто потому что это халявные деньги. На официальном сайте Комодо они просят $76 в год минимум. На другом же сайте можно найти их же сертификат за $8. Вообще, они могли бы его и бесплатно отдать, но 76 баксов то не лишние

Минусы платных сертификатов:

1. Платите деньги за воздух и поощряете продавцов воздуха
2. Будете платить еще в 10 раз больше денег если вам нужен сертификат для субдоменов (потому что потребуется другой сертификат — Wildcard или нужно покупать по сертификату на каждый поддомен)

В любом случае не платите за них более чем $8 в год.

Минусы бесплатных сертификатов:

1. Не работают в старых браузерах и операционных системах(там где не поддерживается SNI)

Эту проблему кстати можно достаточно легко решить, просто не включая SSL для этих старых браузеров/ОС. Если вам кто-то будет настраивать это или вы сами, то вот ссылка (правило для .htaccess).

Зачем вообще нужен SSL-сертификат

SSL-сертификат — это цифровая подпись сайта. Она обеспечивает безопасное шифрованное соединение пользователя с вашей платформой. Без такого сертификата все данные, которые вводят на сайте посетители, могут быть похищены: электронные адреса, пароли и данные банковских карт. 

Мы уже писали о том, что такое SSL-сертификат, как он связан с безопасностью и почему вам лучше перевести сайт на защищенный протокол HTTPS. Там же вы найдёте инструкцию по переходу на HTTPS.

Сегодня поговорим о том, как выбрать SSL-сертификат для сайта.

Существует три способа получить сертификат:

• Сделать самостоятельно. Такой вариант можно использовать для экспериментов на внутренних ресурсах компании, но лучше отказаться от него совсем, ниже мы подробно рассмотрим, почему. 
• Установка такого сертификата позволит сэкономить, но, как правило, у него будет низкий уровень безопасности, что подвергает риску работу вашего сайта.
• Купить. Вариант с гарантиями и всесторонней поддержкой. Подойдёт для любого сайта и бизнеса.

Рассмотрим плюсы и минусы каждого из видов сертификатов и сделаем выводы.

Виды SSL сертификатов

Сертификатов SSL для сайтов существует несколько видов.

Cамоподписной сертификат

Самый простой и бесплатный — это самоподписной сертификат (self-signed), который можно сгенерировать прямо на веб-сервере. Минус этого сертификата в том, что на такой сертификат все браузеры будут выдавать предупреждение, что сайт не проверен.
Для служебных целей и для внутреннего использования такие сертификаты подходят, а вот для публичных сайтов, а тем более для сайтов, которые продают услуги, такие сертификаты нежелательны. Посудите сами, хотели бы вы, чтобы ваш клиент при заказе услуги увидел вот такую ошибку на весь экран? Как показывает практика, большинство посетителей такая страничка отпугивает и отбивает желание продолжать заказ дальше.

Сертификаты, которые подтверждают только доменное имя (Domain Validation — DV)

Это самые простые сертификаты, это ваш выбор если сертификат вам нужен срочно, так как выпускаются они автоматически и моментально. При проверке такого сертификата отсылается письмо со специальной ссылкой, по которой нужно кликнуть, чтобы подтвердить выпуск сертификата.

Сертификаты, которые подтверждают домен и организацию (Organization Validation — OV)

В таком сертификате уже будет указано название организации. Такой сертификат частное лицо получить не может. Срок выдачи таких сертификатов как правило от 3 до 10 рабочих дней, зависит от центра сертификации.

Сертификаты, с расширенной проверкой (Extendet Validation — EV)

Это самые дорогие сертификаты и получить их сложнее всего. В таких сертификатах есть так называемый «green bar» — то есть при входе не сайт, где установлен такой сертификат в адресной строке браузера посетителя появится зеленая строка, в которой будет указано название организации, получившей сертификат. Пожалуй это самый заветный сертификат для владельца сайта.

Ручная установка HTTPS

Административная панель также требует перехода, как сайт. Для этого сохраняется резервная копия и добавляются следующие строки в файл конфигурации wp-config.php:

Далее сменяется адрес сайта в общих параметрах. Следует зайти «Настройки – Общие», в строках с URL-адресом вместо http указать https. Для старых проектов существуют риски, что требует предварительной консультации со службой поддержки хостинга или использования указанного плагина.

Чтобы изменить ссылки имеющихся страниц и постов ресурса – устанавливают плагин Better Search Replace. После установки, в панели управления, указать «Search for – http://mysite.ru», в строке «Replace with – https://mysite.ru». Старые адреса изменятся. Следующий шаг – уведомить поисковики о переходе на другой протокол. Для этого в файл .htaccess помещается следующий код, выполняющий 301-редирект:

В https://www.mysite.ru указывается свой сайт. Все страницы со старым протоколом будут перенаправлены. Проводится тестирование работоспособности ресурса и наличие вредоносного контента:

• JitBit SSL-check – проверит наличие недобросовестных файлов и контента;
• сервис SSL Labs предоставит полноценную информацию о конфигурации SSL;
• серфинг по нескольким страницам ресурса и проверка их работоспособности;
• проводится поиск ссылок в поисковой выдачи и проверяется их правильная индексация (с новым перенаправлением);
• при наличии смешанного контента используется плагин SSL Insecure Content Fixer.

Использование плагина для автоматического перехода с HTTP на HTTPS значительно упрощает задачу, но знать о ручном методе – необходимо.

Основы создания сайта – “Записи и страницы: отличия в WordPress”

Различия между HTTP и HTTPS

Применение защищенного соединения значительно увеличивает доверие посетителей к ресурсу, помогает безопасно обрабатывать данные пользователей и поднять авторитет среди поисковиков.

Основные отличия:

• протокол HTTPS кодирует обмен информацией между браузером и посетителем, что обратно этому процессу в HTTP;
• в адресной строке возле доменного имени появляется зеленый замок, нажав на который предоставляется вся информация о сертификате, а также степени защищенности;
• протокол HTTP устанавливается по умолчанию, HTTPS – платная услуга, цена на которую варьируется от 20 до 150 долларов в год. Некоторые сервисы подключают SSL сертификат бесплатно для сайта.

Интернет не стоит на месте, появляются новые методы хищения информации, атаки на ресурсы и требования от поисковых систем. В сегодняшних реалиях, SSL – обязательное условие для нормального существования проекта. Google отдает предпочтение в ранжировании сайтам с имеющимся сертификатом.

Виды SSL сертификатов

Сертификатов SSL для сайтов существует несколько видов.

Cамоподписной сертификат

Самый простой и бесплатный — это самоподписной сертификат (self-signed), который можно сгенерировать прямо на веб-сервере. Минус этого сертификата в том, что на такой сертификат все браузеры будут выдавать предупреждение, что сайт не проверен.
Для служебных целей и для внутреннего использования такие сертификаты подходят, а вот для публичных сайтов, а тем более для сайтов, которые продают услуги, такие сертификаты нежелательны. Посудите сами, хотели бы вы, чтобы ваш клиент при заказе услуги увидел вот такую ошибку на весь экран? Как показывает практика, большинство посетителей такая страничка отпугивает и отбивает желание продолжать заказ дальше.

Сертификаты, которые подтверждают только доменное имя (Domain Validation — DV)

Это самые простые сертификаты, это ваш выбор если сертификат вам нужен срочно, так как выпускаются они автоматически и моментально. При проверке такого сертификата отсылается письмо со специальной ссылкой, по которой нужно кликнуть, чтобы подтвердить выпуск сертификата.

Сертификаты, которые подтверждают домен и организацию (Organization Validation — OV)

В таком сертификате уже будет указано название организации. Такой сертификат частное лицо получить не может. Срок выдачи таких сертификатов как правило от 3 до 10 рабочих дней, зависит от центра сертификации.

Сертификаты, с расширенной проверкой (Extendet Validation — EV)

Это самые дорогие сертификаты и получить их сложнее всего. В таких сертификатах есть так называемый «green bar» — то есть при входе не сайт, где установлен такой сертификат в адресной строке браузера посетителя появится зеленая строка, в которой будет указано название организации, получившей сертификат. Пожалуй это самый заветный сертификат для владельца сайта.

Настройка HTTPS

Обязательно дождитесь установки, после чего продолжите настройку SSL-сертификата на WordPress. 

По умолчанию сайт открывается в браузере по протоколу HTTP. Чтобы автоматически устанавливалось безопасное соединение HTTPS, нужно включить перенаправление с HTTP на HTTPS. Рассмотрим два способа.

Настройка перенаправления в админке WordPress

1. В меню выберите «Настройки», затем «Общие».
2. В полях “WordPress Address (URL)” и “Site Address (URL)” к “http” добавьте в конце “s”, чтобы получилось “https”, и сохраните изменения.

Включение перенаправления в панели хостинга. На примере Timeweb

1. Перейдите в раздел «Сайты». 
2. Рядом с папкой нужного сайта нажмите на зеленую кнопку в виде шестеренки.
3. Переведите переключатель «Использовать безопасное соединение https://» в состояние «вкл» и нажмите «Сохранить настройки». 

Проверьте, как ваш сайт открывается в браузере: в адресной строке должен быть «замочек».

Если видите надпись «Не защищено», то, чтобы настроить SSL-сертификат на сайте на WordPress, нужно исправить ошибку “mixed content”.

Дополнительные вопросы про SSL сертификат

В основном вопросы про бесплатный SSL идут от незнания, попробую ответить на основные из них.

1. Защита сайта с SSL сертификатом

Сайт не защищается. Https протокол шифрует данные между сайтом и пользователем сайта, то есть их не могут прочитать и таким образом защищаются личные данные. Это защита именно данных пользователя вашего сайта.

2. Разница между платными и бесплатными сертификатами

Подробно писал в статье про виды SSL, здесь скажу кратко – основная масса сайтов может обойтись бесплатным. Если у вас организация или оплата услуг – возможно вам лучше перейти на другой уровень сертификата.

3. Влияет ли SSL на продвижение сайта в поисковых системах?

Какой то фактор думаю срабатывает. Сама отметка “Надёжный” уже даёт посетителю плюс в отношении к сайту. Фактор Https в основном думаю применяется к сайтам, которые берут личную информацию у посетителя, особенно интернет магазины. Это не главный фактор, но в целом сейчас это анализировать трудно, так как идёт большой рост сайтов на HTTPS и проводит ьанализ влияния на продвижения субъективно.

Спасибо всем кто прочитал до конца. Буду рад вашим комментариям и вопросам. Пишите, если будут непонятные моменты, отвечу обязательно.

Где и как получить сертификат

Поскольку я категорически не советую Вам использовать бесплатный сертификат, то вариантов у нас в принципе не так уж и много. Что бы не заморачиваться нюансами процесса выпуска сертификата с последующей установкой, то есть смысл рассмотреть переезд к хостеру, который сделает все за Вас, Вам останется всего лишь это оплатить.

Поэтому вместо того, что бы заморачиваться изучением темы SSL-сертификатов, лучше заморочиться хостером, который сделает все за Вас. Из всего великого множества хостинов могу посоветовать следующие:

Хостинг от СпейсВеб

Услугами этого хостера я пользуюсь достаточно давно и претензий к его работ нет в принципе. Перед нами достаточно богатый выбор, начиная от бесплатного, заканчивая EV:

Как мы видим нам дают возможность получить бесплатный сертификат (на 1 год, после завершения срока действия сертификата необходимо будет приобрести платный), а так же приобрести более расширенный. На данный момент представлено всего три центра сертификации:

• Thawte
• GeoTrust
• Symantec

Ссылка на сайт хостера: https://sweb.ru/

Если вдруг решитесь заказать там хостинг, то укажите промокод: UMMIAZED

Хостинг от REG.RU

Тут к нашему вниманию сертификаты только от GlobalSign, во всяком случае на странице приведены сертификаты только от этого центра.

https://www.reg.ru/ssl-certificate/

Самый дешевый сертификат AlphaSSL за 1499 рублей:

Но кроме всего прочего REG.RU обещает бесплатный сертификат на год, того же GlobalSign при заказе услуги хостинга. Стоит отметить тот факт, что в отличии от СпейсВеб, который предлагает бесплатный SSL-сертификат на год только 1d без www, то REG.RU предлагает сертификат 1d+www. Собственно ссылка на новость: https://www.reg.ru/company/promotions/5063

Хостинг от Majordomo

Ничего не могу сказать по поводу данного хостинга, привожу его в пример лишь по причине его популярности. Данный хостинг предлагает нам сертификаты от Comodo и за самый простой просит 990 рублей.

Акций с бесплатными сертификатами у этого хостера нет, во всяком случае я таковых там не обнаружил.

Собственно ссылка на страницу с перечнем SSL-сертификатов: https://www.majordomo.ru/ssl

Какие типы сертификатов бывают

Новичкам, которые решили приобрести себе сертификат для своего сайта на первых порах достаточно трудно разобраться в их обозначении и предназначении, а их, этих типов, достаточно много и у каждого не только свое предназначение, но и стоимость существенно отличается.

По типу верификации сертификаты делятся на три типа:

1. EV SSL — это сертификаты не только повышенной надежности, но и стоимости и выдается только организациям. Перед выпуском сертификата проверяется право владения доменом, а организация, которая запросила сертификат, подвергается тщательной проверке.
2. OV SSL — аналогичен сертификату EV, но с той лишь разницей что доступен как юридическим лицам, так и физическим лицам. Организация или физическое лицо, которые запросили сертификат, подвергается не такой серьезной проверке.
3. DV SSL — этот тип сертификата подразумевает только проверку владения доменом и выпускается автоматически. Это самый дешевый сертификат.

Сертификаты делятся по поддержке доменов на три типа:

1. 1d — данный тип сертификат выдается только для одного домена и если Вы хотите сертификаты для домена с www и без него, то придется купить два сертификата.
2. 1d+www — этот тип сертификата позволяет использовать домен как с www, так и без него. Если хотите использовать адрес www.site.ru, то Вам необходимо приобрести сертификат именно этого типа. Заказывать необходимо на домен с www.
3. w.card — самый дорогой тип сертификата поскольку выдается на домен и все поддомены включая www. Такой тип сертификатов нужен разве что крупным проектам.

Конечно же бесплатные сертификаты не имеют подобной типизации поскольку Вам дают возможность выпустить кучу сертификатов на каждый домен, то есть один сертификат на site.ru, второй на www.site.ru, третий на blog.site.ru и т.д.

Но если углубиться в тему сильнее, то типов сертификатов несколько больше:

1. Esential SSL — самый простой и дешевый тип сертификатов, которые выдается на 1 домен. Выдается как правило очень быстро и проверяется только владение доменом. Бесплатные сертификаты все без исключения именно этого типа.
2. Instant SSL — данный тип сертификатов выдается на 1 домен и доступен как физическим так и юридическим лицам. Проверяется владение доменом и регистрационные данные компании или личности физического лица.
3. SGC — тип сертификатов аналогичный Instant SSL, но с поддержкой повышения уровня шифрования. Актуально для тех, кому необходима поддержка старых браузеров с 40 и 56 битовым шифрованием. На вскидку, на ум приходят только банки или большие корпорации с кучей старого железа.
4. Wildcard — как и писалось выше, данный тип сертификатов выдается для домена и все его поддомены. Если вдруг решите купить такой сертификат, то есть смысл посчитать количество поддоменов и прикинуть что дешевле, один сертификат на каждый поддомен или w.card-сертификат.
5. SAN — полезен тем, кто хочет использовать один сертификат на нескольких разных доменов, которые размещены на одном сервере. Насколько мне известно данный сертификат обычно выдается на 5 доменов и увеличение происходит на 5. То есть если Вам нужен сертификат на 7 разных доменов, то скорее всего придется прикупить сертификат на 10 доменов.
6. EV (Extended Validation) — этот тип сертификатов выдается только юридическим лицам, коммерческим, некоммерческим или государственным организациям и подразумевает глубокую проверку организации. На выпуск сертификата уходит от 10 до 14 дней.
7. EV Wildcard — аналогично Wildcard но с расширенной проверкой и доступен только юридическим лицам, коммерческим, некоммерческим или государственным организациям.
8. EV SGC — аналогично SGC но с расширенной проверкой и доступен только юридическим лицам, коммерческим, некоммерческим или государственным организациям.

Сертификаты c поддержкой IDN

Не все центры сертификации указывают наличия поддержки IDN-доменов, но и далеко не все имеют эту поддержку и вот список некоторых из центров, которые поддерживают такие домены:

• Thawte SSL123 Certificate
• Thawte SSL Web Server
• Symantec Secure Site
• Thawte SGC SuperCerts
• Thawte SSL Web Server Wildcard
• Thawte SSL Web Server with EV
• Symantec Secure Site Pro
• Symantec Secure Site with EV
• Symantec Secure Site Pro with EV

Что такое SSL?

Secure Sockets Layer (SSL) – это протокол безопасности, который создает зашифрованную связь между веб-сервером и веб-браузером. Это гарантирует, что все переданные данные останутся конфиденциальными.

Вы видели значок замка рядом с URL-адресом в адресной строке, когда вы переходите на определенные сайты, верно? Это означает, что сайт защищен SSL.

На вашем сайте должен быть SSL, особенно если вы используете свой сайт для обработки финансовых транзакций. Это защитит вас от утечки данных и даст посетителям веские основания доверять вам конфиденциальную информацию. Это также улучшает ваш рейтинг в результатах поиска.

Но сертификаты SSL могут быть дорогими, если вы не знаете, где искать и что покупаете.

Самоподписанный сертификат SSL

В понимании профессиональных IT-специалистов самоподписанный сертификат SSL представляет собой криптографический протокол, формируемый для отдельного IP-адреса либо персонального домена. Он также имеет альтернативные наименования – self-signed, самозаверенный, самоизданный.

Практически каждый самоподписанный сертификат SSL обладает следующими преимуществами:

1. Не требуется оплата.
2. Полная доступность. Получать бесплатный SSL-сертификат такого типа может всякий пользователь, владеющий зарегистрированным доменом.
3. Нет надобности в обращении к компании, поставляющей услуги. Никаких задержек с ответами техподдержки или консультациями в центре сертификации.
4. Быстрота процедуры. Вся последовательность действий нетрудная, когда известная специфика действий и есть навык использования особого софта. Также нужен опыт работы с SSL-библиотеками. К примеру, под Windows следует задействовать консоль PowerShell либо криптографическое хранилище OpenSSL.
5. Разрешается создавать самоизданный сертификат SSL в любых количествах.

Некоторым здесь кажется достаточным изучение особенностей self-signed сертификатов. Однако, должны непременно рассматриваться отрицательные моменты.

Недостатки такие:

1. Отсутствует надёжная защита. У браузеров нет доверия, поскольку самоподписанный сертификат SSL выдаются частниками или неизвестными юрлицами, а не специализированными центрами.
2. Присутствует опасность потери данных. Реально утратить как собственную информацию, так и персональные пользовательские данные. Они теряются непосредственно с web-сайта, имеющего бесплатный SLL-сертификат.
3. Посетители ресурса пугаются. Если человек, гуляющий по Всемирной паутине, заходит на интернет-страницу, где установлен самоизданный сертификат SSL, то видит браузерное предупреждение. Обязательно число посетителей сокращается, ведь готовность к совершению определённых действий логичным образом снижается. Все опасаются мошеннических ресурсов.
4. Реальность ошибок в процессах оформления, а также отображения SSL-сертификата. Они появляются при неправильном создании набора правил сетевого взаимодействия.

Когда требуется проведение тестирования внутренних ресурсов фирмы, но возможности или желания создавать доверенные сертификаты нет, возможно создавать самоподписанный сертификат SSL.

Хотя даже при этом обстоятельстве остаются риски. У крупной корпорации здесь будут значительные временные и трудовые затраты, так как следует качественно оптимизировать работу.

Сотрудникам нужно объяснять процедуры и схематику действий для адекватной реакции на браузерное предупреждение об опасности. При взвешенной оценке получается вывод – самоизданный сертификат SSL нежелательно применять на современных сайтах.

Напоследок

Первое время сайт будет работать мимо Cloudflare и предпринимать какие-либо действия по переходу на HTTPS на стороне сайта нецелесообразно, да и в принципе бессмысленно. Дождитесь когда сайт начнет работать через HTTPS, это будет понятно когда вы увидите на своем сайте просто текст без оформления. В этот момент быстро идем на Cloudflare, заходим в раздел «DNS» и выключаем работу cloudflare кликнув переключатели в виде облаков, они должны стать серыми:

После чего можем производить работы с сайтом для перевода его на HTTPS и после завершения работ, нам потребуется включить все обратно и довольствоваться халявным сертификатом.

Бесплатный SSL сертификат для сайта от хостинга

Так же, обращаю ваше внимание на то, что на сегодняшний день многие хостинги предлагают в рамках своих услуг бесплатное предоставление SSL-сертификата от Let’s Encrypt. При этом настройку автоматического сертификата они берут на себя

Поэтому, если вы все-таки решите получить для своего сайта сертификат Let’s Encrypt, первое, что я вам советую сделать – это обратится в техподдержку вашего хостинга и узнать, выдают ли они такие сертификаты. Если же нет, то возможно они смогут вам помочь с установкой такого сертификата или дать ссылку на какую-то инструкцию по установке такого сертификата именно на вашем хостинге

При этом настройку автоматического сертификата они берут на себя. Поэтому, если вы все-таки решите получить для своего сайта сертификат Let’s Encrypt, первое, что я вам советую сделать – это обратится в техподдержку вашего хостинга и узнать, выдают ли они такие сертификаты. Если же нет, то возможно они смогут вам помочь с установкой такого сертификата или дать ссылку на какую-то инструкцию по установке такого сертификата именно на вашем хостинге.