Настройка SSL: бесплатный сертификат Let’s Encrypt

Зачем сайту SSL-сертификат

SSL-сертификат шифрует соединение между браузером посетителя и сервером — без него любые данные формы, включая пароли и данные карт, передаются в открытом виде и потенциально доступны для перехвата. Браузеры дополнительно помечают сайты без HTTPS как «Небезопасные», что снижает доверие посетителей ещё до того, как они прочитали хоть слово на странице.

Что такое Let’s Encrypt

Let’s Encrypt — некоммерческий центр сертификации, выдающий полноценные SSL-сертификаты бесплатно и в автоматическом режиме через специальный протокол подтверждения владения доменом. Сертификат действует 90 дней и должен продлеваться автоматически — вручную заниматься этим не нужно, если один раз правильно настроить автопродление.

Как получить сертификат

Проще всего использовать утилиту certbot: она подтверждает владение доменом (обычно через временный файл на сервере или DNS-запись), выпускает сертификат и, если сервер работает на nginx или Apache, может сразу автоматически прописать его в конфигурации веб-сервера. Процесс занимает пару минут для одного домена.

После первого выпуска стоит сразу же настроить автоматическое продление через планировщик задач (cron) — certbot умеет продлевать сертификат самостоятельно, если запускать проверку регулярно, например раз в сутки; продление реально происходит только когда до истечения остаётся около 30 дней.

Частые ошибки

Смешанный контент — когда сайт открывается по HTTPS, но часть ресурсов (изображения, скрипты) всё ещё загружается по HTTP — браузер в этом случае показывает предупреждение о частично незащищённом соединении. Чинится заменой всех внутренних ссылок на протокол-независимые или на HTTPS явно.

Забытый редирект с HTTP на HTTPS — сертификат выпущен и работает, но сайт по-прежнему открывается и без шифрования на старом адресе. Настройте постоянный редирект (301) на уровне веб-сервера, чтобы все посетители и поисковые роботы попадали на защищённую версию сайта.

Wildcard-сертификат: когда обычного мало

Обычный сертификат Let’s Encrypt покрывает конкретное имя домена и, при явном указании, один уровень поддоменов. Если поддоменов много и они создаются динамически (например, у каждого клиента SaaS-сервиса свой поддомен), удобнее Wildcard-сертификат вида *.site.ru — он покрывает все поддомены первого уровня сразу и не требует перевыпуска при создании нового.

Let’s Encrypt выпускает Wildcard-сертификаты бесплатно, но подтверждение владения доменом для них возможно только через DNS-запись, а не через файл на сервере, — это чуть сложнее в автоматизации, зато решает проблему сразу для всех текущих и будущих поддоменов.