Сертификат протух ночью, а утром вместо магазина клиенты видят красный экран «подключение не защищено». Или «замочек» пропал после установки новой картинки, потому что она грузится по http. Или поисковик ранжирует две версии сайта — http и https — как разные. Все эти истории — не про хакеров, а про базовую гигиену: правильно настроенный HTTPS, который просто работает и о котором не приходится вспоминать.
Разберём HTTPS для магазина на 1С-Битрикс по-инженерному: как выбрать сертификат, аккуратно перевести сайт, убрать mixed content, включить HSTS и не дать сертификату «протухнуть». Если хочется, чтобы безопасность и производительность привели в порядок разом, это часть нашей услуги аудита и оптимизации 1С-Битрикс.
Коротко
- HTTPS обязателен: это доверие, фактор ранжирования и условие для быстрого HTTP/2.
- Большинству магазинов хватит DV-сертификата, в том числе бесплатного Let\'s Encrypt с автопродлением.
- После перехода настройте 301-редирект с http на https и уберите mixed content, иначе «замочек» пропадёт.
- Включайте HSTS только после того, как весь сайт стабильно работает по HTTPS.
Почему HTTPS — это гигиена, а не опция
Ещё несколько лет назад HTTPS считался «желательным». Сегодня это фундамент, без которого магазин просто не выглядит нормальным. Браузеры прямо помечают HTTP-сайты как «не защищённые», а формы с паролями и оплатой на таких страницах вызывают предупреждения. Для магазина, который принимает данные и деньги, это неприемлемо.
HTTPS решает три задачи сразу: шифрует трафик между пользователем и сайтом (никто не перехватит логин, адрес и данные заказа), подтверждает подлинность домена и служит сигналом доверия для клиента и поисковика. Поэтому речь не о том, «включать ли HTTPS», а о том, как включить его правильно и без побочных эффектов.
Как вообще работает SSL/TLS
За «замочком» стоит протокол TLS (исторически его называют SSL). При открытии сайта браузер и сервер выполняют рукопожатие: сервер предъявляет сертификат, подтверждающий, что он действительно владелец домена, стороны согласуют ключи и дальше обмениваются зашифрованными данными. Пользователю это невидимо — он просто видит https и замок.
Сертификат выдаёт удостоверяющий центр (CA), которому доверяют браузеры. Именно поэтому нельзя «сделать сертификат самому»: самоподписанный сертификат не входит в цепочку доверия, и браузер его отвергнет. Задача администратора — получить сертификат у доверенного CA, правильно установить его вместе с цепочкой и вовремя продлевать.
Какой сертификат выбрать
Сертификаты различаются по уровню проверки и по охвату доменов. На практике выбор проще, чем кажется.
| Тип | Что подтверждает | Кому подходит |
|---|---|---|
| DV (доменный) | Контроль над доменом | Большинству магазинов |
| OV (организационный) | Домен + организация | Крупным брендам по требованиям |
| EV (расширенный) | Строгая проверка юрлица | Редко, визуального плюса больше нет |
| Wildcard | Домен и все поддомены | Проектам с множеством поддоменов |
Для типового интернет-магазина рабочий выбор — DV-сертификат. EV с «зелёной строкой» давно потерял смысл: современные браузеры не показывают название компании в адресной строке, поэтому переплата за EV ничего не даёт визуально. Wildcard берут, когда у сайта много поддоменов (региональные, кабинеты, поддомены услуг) и удобно закрыть их одним сертификатом.
Let\'s Encrypt или платный
Бесплатные сертификаты Let\'s Encrypt дают ровно то же шифрование, что и платные DV: браузер не отличает их по уровню защиты. Разница — в сроке жизни и сопутствующих услугах. Let\'s Encrypt выдаётся на короткий срок и требует автопродления, зато настраивается один раз и дальше работает сам.
Платный сертификат имеет смысл, когда нужны гарантии и страховка вендора, поддержка при инцидентах или сертификат требует конкретная площадка/эквайринг. Для остальных случаев бесплатный сертификат с автопродлением — полностью рабочее и надёжное решение. Главное — не забыть про автопродление, о котором ниже.
Перевод на HTTPS пошагово
Перевод сайта на HTTPS — процедура из нескольких обязательных шагов. Пропуск любого оставляет «дыры» вроде пропавшего замочка или двух версий сайта в индексе.
- Получите и установите сертификат. Выпустите DV/wildcard-сертификат, установите его вместе с промежуточной цепочкой на веб-сервере.
- Проверьте работу по https. Убедитесь, что сайт открывается по https без ошибок цепочки и предупреждений.
- Настройте редирект. Постоянный 301-редирект со всех http-адресов на https на уровне веб-сервера.
- Уберите mixed content. Переведите внутренние ссылки и подключения на https или относительные пути.
- Обновите адреса в настройках. В настройках сайта, sitemap, robots и внешних сервисах пропишите https-адрес.
- Сообщите поисковикам. Обновите основное зеркало и sitemap в вебмастере, проверьте индексацию.
- Включите HSTS. После того как всё стабильно работает по https, добавьте заголовок HSTS.
Инфраструктурная часть — сертификаты, веб-сервер, редиректы — тесно связана с настройкой окружения. Как устроена среда Битрикс на уровне сервера, мы разбирали в статье про хостинг и инфраструктуру BitrixVM.
Редиректы и канонические адреса
После перехода на HTTPS у сайта фактически появляются две версии: http и https. Если не свести их в одну, поисковики будут видеть дубли, а часть пользователей продолжит ходить по незащищённым адресам. Решение — жёстко направить весь трафик на одну каноническую версию.
- 301 с http на https. Постоянный редирект на уровне веб-сервера — надёжнее, чем только в коде.
- Один хост. Заодно определитесь с www / без-www и сведите всё к одному варианту.
- Канонические ссылки. В коде страниц используйте относительные или https-адреса, чтобы не плодить http-ссылки.
- Обновите sitemap и robots. В карте сайта должны быть только https-адреса.
Аккуратные редиректы важны и для деплоя: правила веб-сервера — часть конфигурации, которую нужно переносить между окружениями предсказуемо. Как выстроить надёжный процесс выкладки изменений, мы описывали в материале про CI/CD и деплой на Битрикс.
Mixed content: как найти и убрать
Mixed content — самая частая причина «пропавшего замочка» после перехода на HTTPS. Страница открыта по https, но подтягивает ресурсы по http: старые картинки из контента, скрипты сторонних виджетов, шрифты, фоны в CSS. Браузер помечает такое соединение как небезопасное и может блокировать ресурсы.
Ищут mixed content через консоль браузера — она прямо показывает заблокированные http-ресурсы. Дальше:
- Внутренние ссылки переводят на относительные пути или https.
- Контент в инфоблоках проверяют на зашитые http-адреса картинок и правят массово.
- Сторонние подключения (виджеты, метрики, чаты) заменяют на их https-версии.
- CSS-фоны проверяют отдельно — там тоже прячутся http-адреса.
HSTS и заголовки безопасности
HSTS (HTTP Strict Transport Security) — заголовок, который заставляет браузер всегда обращаться к сайту по HTTPS, даже если пользователь ввёл http или перешёл по старой ссылке. Это закрывает окно, в котором возможна подмена на первом незашифрованном шаге, и слегка ускоряет соединение.
Включать HSTS нужно осторожно и только после того, как весь сайт и все поддомены стабильно работают по HTTPS. Если включить его, а часть сайта осталась на http, браузеры «запомнят» требование HTTPS и временно перестанут открывать проблемные адреса. Помимо HSTS, к базовой гигиене относят и другие защитные заголовки, ограничивающие встраивание, поведение при загрузке ресурсов и передачу реферера. Эти заголовки — часть более широкой темы защиты, к которой примыкает и безопасность интеграций, разобранная в статье про REST, вебхуки и безопасность в Битрикс.
Автопродление и мониторинг срока
Самая обидная авария с HTTPS — просроченный сертификат. Сайт работал, ничего не меняли, но однажды утром браузер показывает всем клиентам предупреждение об опасности. Причина — сертификат «протух», а продлить его забыли. Защита от этого — процесс, а не память сотрудника.
- Автопродление. Для Let\'s Encrypt настраивают автоматическое продление; оно происходит без участия человека.
- Мониторинг срока. Отдельно следят за датой окончания и получают оповещение заранее, а не в день истечения.
- Проверка после продления. Убеждаются, что новый сертификат подхватился и цепочка корректна.
- Ответственный процесс. Продление и мониторинг закреплены за поддержкой, а не «за тем, кто вспомнит».
HTTPS, скорость и HTTP/2
Есть миф, что HTTPS замедляет сайт из-за шифрования. На современном железе накладные расходы ничтожны, а выгода — прямая: протокол HTTP/2, который заметно ускоряет загрузку за счёт мультиплексирования запросов, работает только поверх HTTPS. То есть без HTTPS вы просто не получаете быстрый транспорт.
Поэтому перевод на HTTPS стоит рассматривать не как «расход на безопасность», а как условие для скорости. В связке с композитным кэшем и правильной инфраструктурой это часть общей производительности витрины, которую мы поднимаем в рамках аудита и оптимизации.
Специфика 1С-Битрикс
В 1С-Битрикс есть несколько мест, которые нужно учесть при переходе на HTTPS. Во-первых, в настройках главного модуля и настройках сайта указывается адрес — он должен быть https, иначе часть ссылок и писем будет генерироваться со старым протоколом. Во-вторых, у Битрикса есть встроенная проактивная защита и веб-фаервол — их настройки логично привести в порядок заодно с HTTPS.
В-третьих, обмен с 1С и внешние интеграции ходят по тем же адресам: после перехода на HTTPS проверьте, что обмен, платёжные и другие обработчики обращаются к https-адресам и не спотыкаются о редиректы. Интеграционные сценарии — обмен, платежи, доставка — часто завязаны на автоматизацию бизнес-процессов; такие связки мы настраиваем в рамках автоматизации на 1С, чтобы после смены протокола ничего не отвалилось.
Частые ошибки
- Нет редиректа с http. Сайт доступен по обоим протоколам, поисковик видит дубли.
- Остался mixed content. Замочек пропадает, ресурсы блокируются, доверие падает.
- Забыли обновить адрес в настройках. Письма и ссылки генерируются с http, часть трафика идёт мимо HTTPS.
- Включили HSTS слишком рано. Часть сайта на http — и она временно становится недоступной.
- Нет автопродления. Сертификат «протухает», и клиенты видят предупреждение об опасности.
- Неполная цепочка сертификата. На части устройств сайт считается недоверенным из-за отсутствия промежуточного сертификата.
- Интеграции остались на http. Обмен и обработчики спотыкаются о редиректы после перехода.
Чек-лист внедрения
- Сертификат установлен. DV/wildcard с полной цепочкой, сайт открывается по https без ошибок.
- Редирект настроен. Постоянный 301 с http на https на уровне веб-сервера, выбран один хост.
- Mixed content убран. Внутренние ссылки, контент и сторонние подключения переведены на https.
- Адреса обновлены. Настройки сайта, sitemap, robots и внешние сервисы указывают на https.
- HSTS включён вовремя. Заголовок добавлен только после стабильной работы по https.
- Автопродление и мониторинг. Сертификат продлевается автоматически, срок отслеживается с оповещением.
- Интеграции проверены. Обмен с 1С, платежи и обработчики работают по https без сбоев.
- Индексация проверена. В вебмастере обновлено основное зеркало, https-версия индексируется.
Вывод
HTTPS — это не «фича безопасности на потом», а базовая гигиена, без которой магазин выглядит подозрительно и теряет доверие с первого экрана. Большинству проектов достаточно DV-сертификата, в том числе бесплатного, а вся сложность — в аккуратности: редиректы, отсутствие mixed content, вовремя включённый HSTS и настроенное автопродление.
Сделайте эти шаги один раз правильно — и HTTPS перестанет быть источником тревог: замочек не пропадёт, сертификат не протухнет, а сайт получит и доверие пользователей, и бонус к скорости через HTTP/2. Именно так безопасность и должна работать — незаметно и надёжно.
