SSL-сертификат для сайта: какой нужен в 2026 и где взять

SSL-сертификат для сайта - цифровой документ, который включает шифрование между браузером и сервером. В 2026 без SSL сайт не индексируется в поиске нормально, браузер ставит предупреждение, платежи не проходят, заявки теряются. Разбираем, какой сертификат нужен именно вам, где его взять и как поставить без головной боли.

Статья - короткий гид для владельца бизнеса в Петербурге и Ленобласти. Внутри: 5 типов SSL, бесплатные и платные источники, шаги установки на популярные хостинги, 6 ошибок и FAQ. Время чтения - 9 минут.

Материал основан на практике Сайты2.рф. С 2008 года команда из Кронштадта сделала 550+ проектов, NPS 9,2, средний рост заявок ×2,4, CR 4,8%, 92% клиентов возвращаются. В работе - 1С-Битрикс, WordPress, Tilda, Laravel, React, Let's Encrypt, Sectigo, GlobalSign.

Что такое SSL и зачем сайту HTTPS

SSL (Secure Sockets Layer) - устаревшее название протокола. С 2018 года используется TLS 1.2 и TLS 1.3, но термин "SSL-сертификат" прижился. Сертификат подтверждает, что сайт принадлежит указанному домену, и шифрует трафик.

Зачем HTTPS обязательно в 2026:

• Поиск понижает сайты без HTTPS в выдаче с 2014 (Яндекс - с 2017).
• Браузер Chrome помечает HTTP-сайты как "Не защищено" с 2018.
• Платёжные шлюзы (ЮKassa, Робокасса, CloudPayments) работают только по HTTPS.
• PWA, Service Workers, геолокация и микрофон требуют HTTPS.
• 152-ФЗ предписывает защищённую передачу персональных данных, см. 152-ФЗ чек-лист.
• Без замка в адресной строке конверсия падает на 15-30%.

В Петербурге, Ленобласти и Кронштадте покупатели чаще проверяют замок перед оплатой. На корпоративном сайте без HTTPS теряете доверие до первого клика.

Что показывает браузер без HTTPS

Сайт на HTTP без сертификата в Chrome выглядит так: серая иконка с надписью "Не защищено" слева от адреса. В Safari - перечёркнутый замок. В Firefox - треугольник с восклицательным знаком.

При попытке отправить форму браузер дополнительно предупреждает: "Сведения, которые вы отправляете, не шифруются". Окно отпугивает 40-60% посетителей. На лендингах без SSL конверсия в заявку падает с 4-5% до 1,5-2%.

Если сертификат установлен правильно, появляется закрытый замок и протокол https:// в адресной строке. Базовая гигиена для любого лендинга, корпоративного сайта и интернет-магазина.

Типы SSL-сертификатов

Перед покупкой выбираете уровень проверки. В 2026 разница между уровнями стирается, но различия остались.

DV (Domain Validated) - проверка домена

Самый массовый тип. Сертификационный центр проверяет, что вы владеете доменом: подтверждение через email на адресах admin@, webmaster@, либо через DNS-запись, либо через файл на сервере.

Срок выпуска: 5-15 минут. Цена: 0-2000 ₽ в год. Подходит сайтам без приёма платежей напрямую и большинству корпоративных сайтов.

OV (Organization Validated) - проверка организации

Сертификационный центр проверяет данные юр.лица или ИП: ЕГРЮЛ/ЕГРИП, телефон в открытых базах, иногда требует учредительные документы. В информации о сертификате видно название компании.

Срок выпуска: 1-3 рабочих дня. Цена: 4 000-15 000 ₽ в год. Подходит интернет-магазинам, b2b-порталам, банкам.

EV (Extended Validation) - усиленная проверка

Самая глубокая проверка: реальный юридический адрес, выписки, телефонные звонки. До 2019 года Chrome показывал зелёную строку с названием компании. С 2019 такой выделенной строки нет, отличия от OV почти исчезли.

Срок выпуска: 3-7 рабочих дней. Цена: 15 000-50 000 ₽ в год. В 2026 практически не нужен, кроме банковской сферы и крупных финтех-сервисов.

Wildcard

Покрывает основной домен и все поддомены: *.site.ru. Удобно, если у вас десятки субдоменов: shop.site.ru, blog.site.ru, lk.site.ru. Бывает DV и OV-уровня.

Цена: 5 000-25 000 ₽ в год. Бесплатный Wildcard выпускает Let's Encrypt, но только через DNS-челлендж.

Multi-domain (SAN, UCC)

Включает несколько доменов в одном сертификате: site.ru, site.com, mysite.org. До 100 доменов в одной записи. Удобно для холдингов с парком сайтов.

Цена: от 6 000 ₽ за 3-5 доменов.

Где взять SSL-сертификат: бесплатно и платно

Бесплатно

Let's Encrypt - некоммерческий центр, выпустивший более 4 млрд сертификатов. Уровень DV, срок действия 90 дней, авто-продление. Покрывает 80% потребностей.

Получить можно тремя путями:

1. Через панель хостинга в один клик (Бегет, Timeweb, Reg.ru, ihc.ru, SpaceWeb).
2. Через утилиту Certbot на собственном сервере (VPS, выделенный).
3. Через ACME-клиент cPanel/ISPmanager.

ZeroSSL - альтернатива Let's Encrypt с сертификатами 90 дней. Лимит 3 сертификата на аккаунт бесплатно. Полезен как резерв.

Cloudflare - выдаёт SSL поверх своего прокси автоматически при подключении DNS. Удобно, но трафик идёт через зарубежные узлы, что мешает требованиям 152-ФЗ.

Платно

Российские центры (после 2022 года Сбер, Тинькофф, RU-CENTER, GlobalSign Russia) выпускают DV/OV-сертификаты для юр.лиц с оплатой по счёту и закрывающими документами.

Зарубежные коммерческие: Sectigo (бывший Comodo), GlobalSign, DigiCert, GeoTrust. Покупка через реселлеров - LeaderSSL, REG.RU, Beget. Цены:

• Sectigo PositiveSSL DV: от 400 ₽/год.
• Sectigo InstantSSL OV: от 4 000 ₽/год.
• GlobalSign OrganizationSSL: от 10 000 ₽/год.
• DigiCert SecureSite OV: от 30 000 ₽/год.

Для сайтов под 152-ФЗ с обработкой персональных данных граждан РФ выбирайте российские УЦ и серверы в РФ. Это снижает риски при проверках Роскомнадзора.

Установка SSL на хостинг

Сценарий универсален для Бегет, Timeweb, Reg.ru, SpaceWeb. У каждого хостинга есть раздел "SSL" в панели управления.

Шаг 1. Заказать сертификат

Если хотите бесплатный - в панели нажимаете "Получить Let's Encrypt", выбираете домен и поддомены, ждёте 1-2 минуты.

Если платный - покупаете у УЦ, проходите проверку, скачиваете архив с тремя файлами: certificate.crt, private.key, ca_bundle.crt.

Шаг 2. Установить через панель

В разделе SSL загружаете три файла в форму либо вставляете их содержимое в текстовые поля. Сохраняете.

Шаг 3. Включить редирект HTTP→HTTPS

В корне сайта в файле .htaccess для Apache:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

Для Nginx добавляете в server-блок:

return 301 https://$host$request_uri;

В Битрикс и WordPress есть встроенные опции редиректа в админке. После включения проверяете все ключевые страницы.

Шаг 4. Проверить установку

Сервис ssllabs.com/ssltest показывает оценку от A+ до F. Цель - A или выше. При B-C нужны доработки: TLS 1.3, правильная цепочка, HSTS.

Автоматическое продление Let's Encrypt

Срок жизни сертификата Let's Encrypt - 90 дней. Без авто-продления вы пропустите дату и сайт ляжет. На большинстве хостингов опция включена по умолчанию, проверьте чекбокс в панели.

На VPS настраивается cron-задача:

0 3 * * * certbot renew --quiet && systemctl reload nginx

Команда запускается каждую ночь в 3:00, обновляет сертификаты, у которых до окончания меньше 30 дней, и перезапускает Nginx. Логи смотрите в /var/log/letsencrypt/.

Если у вас сложный сервер - закажите техническую поддержку, сделаем мониторинг даты окончания сертификата и оповещения в Telegram за 14 дней.

Mixed content и как починить смешанный контент

После переключения на HTTPS часть картинок, скриптов и стилей может остаться с http://. Браузер показывает предупреждение "Смешанный контент" и не отображает замок целиком.

Алгоритм починки:

1. Открываете консоль браузера (F12), вкладка Console.
2. Видите все ошибки Mixed Content: ... was loaded over HTTPS.
3. В БД сайта меняете все http://site.ru на https://site.ru. Для WordPress подойдёт плагин Better Search Replace.
4. В шаблоне правите жёстко прописанные ссылки.
5. Внешние скрипты и шрифты обновляете на HTTPS-версии.
6. Перезаливаете кэш браузера и CDN.

После исправлений замок становится сплошным. Подробнее о техническом аудите - в статье тех.SEO-аудит.

HSTS - усиление безопасности

HSTS (HTTP Strict Transport Security) - заголовок, заставляющий браузер всегда обращаться к сайту по HTTPS. Даже если посетитель набрал http://, браузер сам переключит на https:// без запроса к серверу.

Добавляете в Nginx:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

max-age=31536000 - год в секундах. После включения откатиться на HTTP без потери трафика сложно. Включайте только после полной проверки HTTPS на всех поддоменах.

Бонус HSTS - ускорение загрузки на 50-150 мс на повторных визитах за счёт пропуска редиректа. Подробнее об оптимизации - в гайде по ускорению сайта.

6 ошибок при работе с SSL

1. Не настроен 301-редирект HTTP→HTTPS. Поисковик видит два сайта-дубля, теряете позиции.
2. Истёкший сертификат. Браузер блокирует доступ. Включайте авто-продление и уведомления.
3. Mixed content. Замок не показывается, доверие падает. Проверяйте через консоль.
4. Неполная цепочка (chain). SSL валиден, но мобильные браузеры ругаются. Загружайте ca_bundle.crt вместе с основным сертификатом.
5. Старые TLS 1.0/1.1. Сертификат принимается, но получите B на ssllabs. Включайте TLS 1.2 и 1.3, отключайте старое.
6. Сертификат не на все поддомены. Покупаете на site.ru, забываете про www.site.ru или m.site.ru. Берёте Wildcard или Multi-domain.

Если делаете сайт самостоятельно по гайду как сделать сайт своими руками, пройдитесь по этим 6 пунктам перед публикацией.

FAQ

Можно ли обойтись бесплатным SSL для интернет-магазина

Да, Let's Encrypt DV закрывает 99% задач интернет-магазина. Платёжные шлюзы принимают любой валидный SSL. Платный OV нужен только при работе с банковскими лицензиями или крупным B2B, где партнёры просят сертификат с названием компании.

Что делать, если SSL истёк ночью

Заходите в панель хостинга, выпускаете Let's Encrypt заново - это 2-5 минут. Если платный - запрашиваете повторный выпуск у УЦ. Параллельно настраивайте авто-продление, чтобы ситуация не повторилась.

Влияет ли SSL на скорость сайта

В 2026 - почти не влияет. TLS 1.3 добавляет 5-20 мс на первое соединение, дальше работает быстрее за счёт HTTP/2 и HTTP/3, доступных только по HTTPS. Чистый HTTPS-сайт грузится быстрее HTTP за счёт мультиплексирования.

Нужен ли SSL для сайта-визитки без форм

Да. Браузер всё равно покажет "Не защищено", поиск понизит позиции, доверие упадёт. Бесплатный Let's Encrypt ставится за 5 минут. Тема домена и хостинга разобрана в статьях как выбрать домен и как выбрать хостинг.

Что делать при ошибке "ваше подключение не защищено"

Чаще всего истёк сертификат или неверно настроена дата на устройстве. Проверяете дату окончания SSL в браузере (клик по замку). Если истёк - перевыпускаете. Если дата ок - проверяете цепочку через ssllabs.

Сколько стоит поставить SSL под ключ

Если используем Let's Encrypt и стандартный хостинг - входит в стоимость сайта или в тариф поддержки бесплатно. Платный SSL с настройкой - от 3 000 ₽ разово плюс цена сертификата. Точные цены - в прайсе или через калькулятор.

Что в итоге

SSL-сертификат для сайта - обязательная гигиена в 2026. Для большинства проектов в Петербурге и Ленобласти достаточно бесплатного Let's Encrypt с авто-продлением. Платный OV нужен интернет-магазинам с лицензиями и банковским сервисам. EV в 2026 - редкость.

Чтобы запустить сайт правильно с первого дня, команда Сайты2.рф из Кронштадта поставит SSL, настроит редиректы, HSTS и мониторинг продления. Опыт с 2008 года, 550+ проектов, средний рост заявок ×2,4. Работаем по СПб, Ленобласти, Гатчине и Сестрорецку.

Заказать сайт под ключ - Рассчитать стоимость - Связаться

Читайте также

• Как выбрать хостинг для сайта
• Как выбрать домен
• 152-ФЗ: чек-лист для сайта
• Как ускорить сайт
• Технический SEO-аудит
• Сайт своими руками