Що таке SSL простими словами

Коли відвідувач відкриває сайт без SSL, дані між його браузером і сервером ідуть відкритим текстом. Будь-хто на шляху — від власника публічного Wi-Fi до провайдера — технічно може їх прочитати або підмінити. Пароль, номер телефону з форми, вміст замовлення.

SSL-сертифікат вмикає шифрування: адреса починається з https://, у браузері зникає попередження. Плюс сертифікат підтверджує, що ви відкрили саме той сайт, а не підробку.

Чому це вже не опція

  • Браузери. Chrome і Safari позначають сайти без HTTPS як «Не безпечно» — напис бачить кожен відвідувач ще до того, як прочитає перший рядок.
  • Пошук. HTTPS — офіційний (нехай і легкий) сигнал ранжування Google. За інших рівних сайт без нього програє.
  • Форми й оплата. Будь-яка платіжна інтеграція вимагає HTTPS. Без нього підключення просто не пройде.
  • Довіра. Замок в адресному рядку — те, на що дивляться навіть ті, хто не знає слова «сертифікат».

Скільки це коштує

Нічого. Let's Encrypt — некомерційний центр сертифікації, який видає сертифікати безкоштовно; їх приймають усі сучасні браузери. Для звичайного сайту, магазину чи корпоративної сторінки цього достатньо.

Платні сертифікати мають сенс у вузьких випадках: потрібна страховка, EV-перевірка юрособи чи wildcard на десятки піддоменів із особливими умовами. Для 95% сайтів це зайва витрата.

Якщо хостинг бере окремі гроші за звичайний SSL — це привід поставити питання. У нас Let's Encrypt входить у всі тарифи, включно зі «Стартом» за 142 грн/міс.

Як увімкнути: покроково в DirectAdmin

  1. Переконайтесь, що домен уже вказує на сервер (A-запис або NS). Без цього сертифікат не випуститься — центр сертифікації має «побачити» ваш сайт.
  2. Панель → Account Manager → SSL Certificates.
  3. Оберіть Free & automatic certificate from Let's Encrypt.
  4. Відмітьте обидві версії: example.com і www.example.com.
  5. Збережіть — випуск займає до хвилини.
  6. Увімкніть Force SSL: усі запити по http автоматично підуть на https.

Сертифікат Let's Encrypt діє 90 днів і продовжується автоматично — за умови, що автопродовження увімкнене. Це і є головна відмінність робочого налаштування від разового.

Головна пастка: змішаний контент

Сертифікат встановили, а замок усе одно не з'являється або перекреслений. Причина майже завжди одна — mixed content: сама сторінка вантажиться по https, а частина картинок, стилів чи скриптів усередині неї — по старому http.

Браузер вважає таку сторінку небезпечною. Що робити:

  • Відкрийте сайт, натисніть F12 → вкладка Console. Браузер прямо назве адреси, які вантажаться по http.
  • У WordPress: у Налаштування → Загальні замініть адресу сайту на https. Старі посилання в контенті масово чиняться плагіном пошуку-заміни або SQL-запитом.
  • У статичних сайтах — знайдіть у коді http:// і замініть на протокол-відносні або https-адреси.
  • Перевірте зовнішні скрипти (лічильники, шрифти, віджети) — вони теж мають вантажитись по https.

Після ввімкнення: що не забути

  • 301-редирект з http на https (у DirectAdmin це і робить Force SSL) — щоб не було двох копій сайту для пошуку.
  • Search Console: додайте https-версію як окремий ресурс і оновіть sitemap.
  • Аналітика: перевірте, що лічильники продовжують збирати дані.
  • Зовнішні сервіси: платіжні системи, CRM, вебхуки — оновіть у них адресу сайту на https.

Коротко

SSL безкоштовний, вмикається за хвилину і потрібен кожному сайту без винятків. Єдина реальна робота — прибрати змішаний контент після переходу. Якщо не хочеться розбиратись самому, напишіть нам у Telegram — увімкнемо і перевіримо.

Нові сайти в Hosturm отримують сертифікат одразу: подивитись тарифи або почати з інструкції перших кроків у DirectAdmin.