HTTPS

Как работает

HTTPS — это тот же HTTP, но поверх шифрования TLS. При заходе на сайт браузер и сервер выполняют TLS-рукопожатие: сервер предъявляет SSL/TLS-сертификат, стороны согласуют ключи, и дальше весь трафик передаётся в зашифрованном виде. Сертификат выпускает удостоверяющий центр — например, бесплатный Let's Encrypt или платные вроде DigiCert — и подтверждает, что домен принадлежит владельцу.

Сайт на HTTPS работает по порту 443, адреса начинаются с https://, а рядом с ними браузер показывает значок замка. После переезда сайт обычно защищают заголовком HSTS, который заставляет браузер всегда открывать защищённую версию:

Strict-Transport-Security: max-age=31536000; includeSubDomains

Проверить, какой сертификат отдаёт сервер и до какой даты он действует, можно прямо в браузере или через ответ сервера.

Почему важно для SEO

Google ещё в 2014 году назвал HTTPS фактором ранжирования — слабым, но работающим при прочих равных. Важнее косвенный эффект: Chrome и другие браузеры помечают HTTP-страницы как «Не защищено», особенно на формах с вводом данных. Такое предупреждение снижает доверие и ухудшает поведенческие метрики.

Для коммерческих сайтов HTTPS давно норма: без него платёжные и формы регистрации выглядят опасно для пользователя. Яндекс тоже отдаёт предпочтение защищённым версиям при склейке зеркал. Переезд http → https поисковики воспринимают как смену адреса, поэтому его нужно проводить через корректные 301-редиректы, иначе часть накопленных сигналов теряется.

Есть и техническая выгода: современные протоколы ускорения HTTP/2 и HTTP/3 работают только поверх TLS, поэтому без HTTPS сайт лишается и этого прироста скорости. При переезде адрес стоит обновить и в Яндекс.Вебмастере через инструмент «Переезд сайта», иначе склейка зеркал затянется на недели, а в выдаче какое-то время будут соседствовать обе версии.

Отдельно стоит настроить контроль срока действия сертификата: просроченный сертификат мгновенно обваливает трафик, а браузер показывает предупреждение вместо страницы. Автопродление через Let's Encrypt снимает эту проблему, но проверять его работу всё равно нужно. Для повышенной защиты домен добавляют в список предзагрузки HSTS, и тогда браузер открывает только https-версию с самого первого визита, не заходя на http даже единожды.

Частые ошибки

• Нет 301-редиректа с http на https — в индексе висят обе версии, возникают дубли.
• Сертификат истёк или самоподписанный — браузер показывает предупреждение, и трафик обваливается.
• Соединение защищено, но на странице остаётся mixed-content — часть ресурсов грузится по http.
• Canonical, sitemap и внутренние ссылки после переезда всё ещё указывают на http.
• Версии с www и без не склеены между собой, каждая со своим сертификатом.

Как проверить

В Chrome откройте DevTools → вкладка Security: там видно статус соединения, цепочку сертификатов и срок действия. Команда curl -I https://example.com/ покажет заголовки ответа и наличие HSTS. В Google Search Console переезд на HTTPS отслеживается в отчёте «Индексирование страниц», в Яндекс.Вебмастере — в разделе «Переезд сайта».

SEO Crawler при обходе фиксирует, отдаёт ли сайт валидный сертификат, есть ли редирект с http на https, и подсвечивает страницы, где внутренние ссылки и canonical ведут на незащищённую версию. В отчёте это блок по протоколу и безопасности соединения.

Вывод

HTTPS сегодня — базовое требование, а не преимущество: без него браузеры пугают пользователей, а поисковики отдают приоритет защищённым конкурентам. Настройте валидный сертификат с автопродлением, закройте переезд сквозными 301-редиректами и убедитесь, что canonical и внутренние ссылки указывают именно на https-версию.