Проверка SSL

Что такое SSL/TLS сертификат и зачем он нужен

SSL (Secure Sockets Layer) и его современный преемник TLS (Transport Layer Security) — это криптографические протоколы, обеспечивающие защищённую передачу данных между браузером пользователя и веб-сервером. Когда вы видите в адресной строке браузера значок замка и префикс «https://» — это и есть свидетельство того, что соединение защищено SSL/TLS-сертификатом.

SSL-сертификат выполняет сразу три ключевые функции: шифрование данных (никто не может перехватить и прочитать передаваемую информацию), аутентификация сервера (пользователь уверен, что подключается именно к тому сайту, к которому намеревался), а также целостность данных (данные не были изменены в процессе передачи).

Без SSL-сертификата браузеры Google Chrome, Mozilla Firefox, Safari и другие помечают сайт как «Небезопасный». Это немедленно подрывает доверие посетителей и снижает конверсию. Поисковые системы, в первую очередь Google, учитывают наличие HTTPS как фактор ранжирования. Сайты без SSL получают пониженные позиции в поисковой выдаче. Для интернет-магазинов, банков, медицинских сервисов и любых сайтов, собирающих персональные данные, наличие действующего SSL-сертификата — не просто желательная мера, а обязательное требование законодательства во многих странах, в том числе требование 152-ФЗ «О персональных данных» в России.

Как работает шифрование HTTPS и чем опасно его отсутствие

Когда пользователь заходит на сайт с HTTPS, между браузером и сервером происходит так называемое «SSL-рукопожатие» (TLS Handshake). В ходе этого процесса браузер запрашивает сертификат сервера, проверяет его подлинность через цепочку доверенных центров сертификации (CA — Certificate Authority), после чего стороны согласуют алгоритм шифрования и обмениваются ключами. Все последующие данные передаются в зашифрованном виде.

Если сайт работает по HTTP без шифрования, любые данные, которые пользователь вводит на сайте — логины, пароли, номера банковских карт, личная переписка — передаются в открытом виде. Злоумышленник, находящийся в той же сети (например, в публичном Wi-Fi), может легко перехватить эти данные с помощью атаки типа «Человек посередине» (Man-in-the-Middle, MITM). Особенно уязвимы пользователи, подключённые через незащищённые точки доступа в кафе, аэропортах, гостиницах.

Кроме угрозы перехвата данных, отсутствие SSL создаёт проблемы и для самого владельца ресурса: снижение трафика из-за пессимизации в поисковиках, высокий процент отказов — пользователи уходят, увидев предупреждение браузера, невозможность использовать современные веб-технологии (многие API браузеров доступны только для HTTPS-сайтов), а также юридические риски при работе с персональными данными.

Что показывает наш инструмент проверки SSL

Наш бесплатный онлайн-инструмент проверки SSL позволяет мгновенно получить полную информацию о сертификате любого сайта. Достаточно ввести доменное имя — и вы увидите исчерпывающий отчёт.

Инструмент показывает следующие данные:

Статус сертификата — действителен ли сертификат в данный момент. Сертификат может быть действительным, просроченным, отозванным или содержать ошибку домена.

Срок действия — даты начала и окончания действия сертификата. Это особенно важно: просроченный сертификат вызывает ошибку в браузере и делает сайт недоступным для большинства пользователей. Рекомендуется обновлять сертификат минимум за 30 дней до истечения срока.

Издатель сертификата (CA) — название центра сертификации, выпустившего сертификат. Среди наиболее известных и доверенных: Let’s Encrypt, DigiCert, Comodo (Sectigo), GlobalSign, GeoTrust. Самоподписанные сертификаты (self-signed) не имеют издателя из числа публично доверенных CA, что вызывает предупреждение браузера.

Тип шифрования и криптографические алгоритмы — используемые алгоритмы шифрования (RSA, ECDSA), длина ключа и хэш-алгоритм подписи. Устаревшие алгоритмы (SHA-1, MD5, ключи RSA менее 2048 бит) считаются небезопасными.

Домены в SAN (Subject Alternative Names) — список всех доменных имён, для которых действителен сертификат. Современные сертификаты часто покрывают как основной домен, так и поддомены (wildcard-сертификаты вида *.example.com).

Версия протокола TLS — какая версия протокола используется: TLS 1.0, 1.1, 1.2 или 1.3. Версии 1.0 и 1.1 считаются устаревшими и небезопасными, рекомендуется TLS 1.2 и выше.

Виды SSL-сертификатов: DV, OV, EV — отличия и применение

SSL-сертификаты различаются по уровню проверки, которую проходит получатель при выпуске сертификата.

DV (Domain Validation) — сертификат с проверкой домена

Самый распространённый и доступный тип. При выпуске центр сертификации проверяет только то, что заявитель действительно контролирует домен (обычно через файл на сервере или DNS-запись). Личность владельца не проверяется. Выдаётся автоматически за считанные минуты. Бесплатные сертификаты от Let’s Encrypt — именно DV. Подходит для большинства сайтов: блогов, портфолио, небольших корпоративных сайтов.

OV (Organization Validation) — сертификат с проверкой организации

При выдаче центр сертификации дополнительно проверяет юридическое существование организации, её адрес и другие реквизиты. В данных сертификата отображается название организации. Процесс выдачи занимает несколько дней. Подходит для корпоративных сайтов, государственных учреждений, крупных компаний.

EV (Extended Validation) — сертификат с расширенной проверкой

Наиболее строгая проверка: верифицируются юридическое существование компании, физический адрес, телефон, право на использование домена и другие параметры. В прошлом браузеры выделяли сайты с EV-сертификатами зелёной адресной строкой с названием организации, однако большинство современных браузеров отказались от этой визуальной индикации. EV-сертификаты используются банками, платёжными системами, крупными e-commerce платформами.

Кроме деления по уровню проверки, сертификаты различаются по охвату доменов:

• Одиночный (Single Domain) — защищает один конкретный домен.
• Wildcard — защищает домен и все его поддомены первого уровня (*.example.com).
• Мультидоменный (SAN/Multi-Domain) — защищает несколько различных доменов в рамках одного сертификата.

Как проверить SSL вручную через браузер

Вы можете посмотреть базовую информацию о SSL-сертификате прямо в браузере, не прибегая к сторонним инструментам:

В Google Chrome нажмите на значок замка слева от адресной строки, выберите «Соединение защищено», затем «Сертификат действителен». В открывшемся окне вы увидите владельца, издателя и срок действия сертификата.

В Mozilla Firefox нажмите на замок, затем «Безопасное соединение» → «Подробнее». Откроется панель с информацией о сертификате.

Однако браузер показывает лишь минимальный набор данных. Онлайн-инструмент проверки SSL предоставляет значительно более полную картину: все домены из SAN, версию протокола TLS, алгоритм шифрования, цепочку доверия, точные временные метки и другие технические детали, которые важны для администраторов и SEO-специалистов.

Кроме того, онлайн-проверка позволяет проверить чужой сайт — то, что браузер показывает только для сайта, на котором вы находитесь.

Типичные ошибки SSL и что они означают

«Срок действия сертификата истёк»

Наиболее распространённая проблема. SSL-сертификаты имеют ограниченный срок действия (как правило, 90 дней для Let’s Encrypt или 1–2 года для коммерческих сертификатов). После истечения срока браузер показывает предупреждение, и большинство пользователей немедленно покидают сайт. Решение — своевременное обновление сертификата.

«Имя сайта в сертификате не совпадает с именем сайта»

Сертификат был выпущен для одного домена, а сайт открывается по другому. Например, сертификат выпущен для example.com, но сайт доступен по адресу www.example.com без включения www в SAN сертификата. Или сертификат выпущен для одного домена, а используется на другом. Решение — выпустить сертификат, включающий все необходимые варианты домена.

«Самоподписанный сертификат»

Сертификат был создан и подписан самим сервером, а не доверенным центром сертификации. Браузеры не доверяют таким сертификатам и показывают предупреждение. Допустимо для внутренних систем и тестовых сред, но категорически не подходит для публичных сайтов.

«Небезопасный алгоритм шифрования»

Сертификат подписан устаревшим алгоритмом (например, SHA-1) или использует короткий ключ (RSA 1024 бит). Современные браузеры не доверяют таким сертификатам. Необходимо перевыпустить сертификат с актуальными алгоритмами (SHA-256 и выше, RSA 2048+ или ECDSA).

«Неполная цепочка доверия»

Сервер не предоставляет промежуточные сертификаты, необходимые для проверки подлинности. Браузер не может проверить сертификат и показывает предупреждение. Решение — правильная настройка веб-сервера с установкой полной цепочки сертификатов.

Как часто нужно проверять SSL и кому это важно

Владельцам сайтов рекомендуется проверять SSL-сертификат не реже одного раза в месяц, а также сразу после любых изменений в инфраструктуре сайта (смена хостинга, переезд на новый домен, обновление сервера). Особенно важно следить за сроком истечения: просроченный сертификат = недоступный сайт для большинства пользователей.

SEO-специалистам проверка SSL важна как один из факторов технического аудита. Проблемы с сертификатом напрямую влияют на индексацию и ранжирование: Google не будет нормально индексировать страницы с ошибками SSL. Также важно убедиться, что весь сайт корректно перенаправляет с HTTP на HTTPS и что в индексе нет смешанного контента (mixed content).

Веб-разработчикам и системным администраторам инструмент проверки SSL необходим при настройке новых серверов, после обновления сертификата, а также для диагностики проблем с HTTPS. Важно проверять не только статус сертификата, но и поддерживаемые версии TLS, алгоритмы шифрования и наличие полной цепочки доверия.

Маркетологам и менеджерам проектов проверка SSL помогает убедиться, что сайт не теряет трафик из-за технических проблем с безопасностью, а доверие аудитории к ресурсу не подорвано браузерными предупреждениями.

FAQ: часто задаваемые вопросы про SSL

Нужен ли SSL для сайта, на котором нет форм и оплаты?

Да. Даже если ваш сайт является статичным блогом или визиткой без каких-либо форм, SSL всё равно необходим. Во-первых, Google учитывает HTTPS при ранжировании для всех типов сайтов. Во-вторых, браузеры помечают HTTP-сайты как небезопасные — это отталкивает посетителей. В-третьих, Let’s Encrypt предоставляет бесплатные DV-сертификаты, так что технических или финансовых барьеров для установки SSL не существует.

Что такое смешанный контент (mixed content) и почему это проблема?

Смешанный контент возникает, когда сайт работает по HTTPS, но часть ресурсов (изображения, скрипты, стили) загружается по HTTP. Браузер блокирует или помечает такой контент как небезопасный, даже если у сайта есть действующий SSL-сертификат. Это может сломать внешний вид сайта или нарушить его функциональность. При переезде с HTTP на HTTPS необходимо убедиться, что все ссылки на ресурсы обновлены на HTTPS.

Можно ли использовать один SSL-сертификат для нескольких сайтов?

Да, при использовании мультидоменного (SAN) сертификата один сертификат может защищать несколько различных доменов. Wildcard-сертификат защищает все поддомены одного домена. Однако для совершенно разных доменов потребуется мультидоменный сертификат или отдельные сертификаты для каждого.

Как долго действует бесплатный сертификат Let’s Encrypt?

Сертификаты Let’s Encrypt действуют 90 дней. Рекомендуется настроить автоматическое обновление (через certbot или аналогичные инструменты), чтобы сертификат обновлялся автоматически за 30 дней до истечения срока.

Влияет ли тип SSL-сертификата (DV/OV/EV) на ранжирование в Google?

Нет. Google учитывает сам факт наличия HTTPS, но не тип сертификата. С точки зрения SEO достаточно бесплатного DV-сертификата.

Что означает «HSTS» и как это связано с SSL?

HSTS (HTTP Strict Transport Security) — это политика безопасности, которую сервер передаёт браузеру через специальный заголовок. Она указывает браузеру всегда использовать только HTTPS для данного домена, даже если пользователь вводит адрес без «https://». Это дополнительная защита от атак на понижение версии протокола. HSTS можно увидеть при проверке ответа сервера.

Как проверить SSL если сайт ещё не запущен публично?

Если сайт работает на тестовом домене или IP-адресе, вы можете использовать специализированные инструменты вроде SSL Labs, либо проверить сертификат непосредственно через браузер при подключении к тестовому серверу.

Что делать, если SSL-сертификат был скомпрометирован?

Немедленно отозвать сертификат через центр сертификации и выпустить новый. Большинство современных CA предоставляют возможность отзыва через личный кабинет или API. После выпуска нового сертификата обязательно проверьте его корректную установку с помощью нашего инструмента.