В разговорной речи сертификат для HTTPS часто называют SSL-сертификатом, хотя современные защищённые соединения используют TLS. Сертификат связывает имя сервера с ключом в рамках цепочки доверия. Он нужен для защищённого соединения, но не подтверждает добросовестность любого сайта.
Разделите шифрование и доверие к содержанию
HTTPS защищает передачу данных между участниками соединения в рамках используемого протокола. Он не делает автоматически безопасным текст страницы или поведение продавца. Злоумышленный сайт тоже может иметь сертификат. Проверяйте адрес и назначение формы независимо от значка защищённого соединения.
Проверьте покрываемые имена
Сертификат должен соответствовать используемому домену и нужным поддоменам. При смене адреса или подключении отдельного сервиса уточните покрытие. Ошибка имени вызывает предупреждение браузера. Не просите посетителей игнорировать такое предупреждение ради продолжения работы.
Настройте всю цепочку доставки
Если между браузером и приложением есть прокси или CDN, проверьте защищённость каждого участка. Наличие HTTPS на внешнем адресе не описывает внутреннее соединение само по себе. Настройки зависят от схемы размещения. Согласуйте их с ответственным за инфраструктуру.
Контролируйте продление
Сертификат имеет срок действия. Автоматическое продление требует работающей проверки домена и доступной конфигурации. Назначьте контроль ошибок и уведомлений. После изменения DNS, сервера или правил доступа повторите проверку продления, а не только текущего открытия сайта.
Уберите смешанный контент
Страница по HTTPS может ссылаться на ресурсы по HTTP. Проверьте изображения, стили, скрипты и внешние вставки. Используйте корректные адреса и проверяйте консоль браузера. Не заменяйте все вхождения текста вслепую в сериализованных данных CMS: для переноса нужны совместимые инструменты.
Практический порядок действий
- Проверьте домен и покрываемые имена.
- Проверьте цепочку сертификата в браузере.
- Уточните схему прокси и исходного сервера.
- Настройте контроль продления.
- Проверьте ресурсы страницы по HTTPS.
Разбор ситуации
После подключения CDN браузер открывает HTTPS, но исходный сервер настроен отдельно. Администратор проверяет оба участка и правила проверки сертификата, затем тестирует страницу с изображениями и формами. Внешнего значка HTTPS для этой проверки недостаточно.
Вывод
HTTPS — необходимая часть защиты передачи, а не общий знак качества сайта. Контролируйте имя, конфигурацию и продление как отдельные задачи.
Источники и проверка
Технические сведения сверены с документацией. Практические сценарии и порядок проверки — редакционные рекомендации. Условия конкретного продукта проверяйте перед подключением.
