Переносим сайт на HTTPs: пошаговая инструкция

Еще 10 лет назад многие сайты активно использовали HTTP, но в современных условиях такой вариант не подходит для коммерческих ресурсов. Только HTTPs позволяет защитить персональные данные посетителей сайтов и предупредить вторжение хакеров в программный код ресурса. Виной всему стал бум хакерских утилит, в частности SSLStrip и Firesheep, творения Марлинспайка из Ирана.

HTTPs расшифровывается как Hypertext Transport Protocol Secure и представляет собой усовершенствованную версию стандартного протокола, обеспечивающего более высокий уровень конфиденциальности и безопасности пользовательских данных на сайте:

• Аутентификация отвечает за гарантированное попадание пользователя на страницу нужного интернет-магазина или сайта, что повышает доверие к ресурсу.
• Специальное шифрование предотвращает перехват данных, так как не дает мошенникам доступа к личной информации клиентов.
• Происходит фиксация всех внесенных изменений.

Американское правительство обязало все государственные сайты перейти на протоколы HTTPs в 2016 году. Соединения без SSL-сертификатов в ближайшее время будут недоступны для пользователей Mozilla Firefox. С июля 2018 Google Chrome автоматически отображает напротив HTTP значок «Не защищено». Кстати Google планирует в ближайшее время пересмотреть критерии выдачи и поставить в приоритет защищенные HTTPs ресурсы. Обновление сайта принесет вам только положительные изменения, а пошаговая инструкция поможет сделать это оперативно и безболезненно.

Этапы перехода сайта на безопасный протокол

1. Подготовительные работы

Если вовремя не заняться проблемами с кодом, после внедрения безопасного протокола могут появиться серьезные технические неполадки.

• Отказ от абсолютных ссылок для внутренней перелинковки

Различают несколько видов требуемых относительных ссылок:

• Независимые от домена:

/about/ вместо https://website.com/about/

• Независимые от протокола:

//website.com/about/ вместо https://website.com/about/

В данном случае приоритетными являются ссылки относительного типа, не содержащие протоколируемые названия. Независимо от того обычный или безопасный протокол у вашего ресурса, он будет относиться ко всем страницам. Это касается исключительно внутренних ссылок, остальные ресурсы можно оставить без внимания. При наличии нескольких поддоменов или объединенных ресурсов их перевод на протокол с защитой безопасности и конфиденциальности персональных данных с использованием относительной схемы ссылок благоприятно скажется на индексации сайта поисковыми системами. У пользователей не возникнет проблем с поиском необходимой информации.

• Правки графических элементов, видео, звуковых и других медиа-компонентов

Проанализируйте актуальный протокол запроса, используемый на вашем ресурсе для отображения медиа-компонентов. Важно сделать всё так, чтобы такие элементы также были переведены на адреса относительного типа. После внесенных изменений HTTPs загрузка контента будет происходить с защищенных ресурсов. Однако проверить доступность каждого элемента придется вручную. При хранении графических объектов непосредственно на сайте, достаточно воспользоваться относительными адресами. При загрузке изображений со сторонних ресурсов или CDN стоит проследить за тем, чтобы они поддерживали технологию SSL, иначе небезопасным компонентам лучше найти замену.

В работе с виджетами популярных социальных сетей Facebook и VK, а также с сервисами SlideShare и Youtube, проблем с переходом на HTTPs возникнуть не может. Они уже давно функционируют на основе безопасного протокола. Работая с менее востребованными сервисами, такие моменты следует уточнять заранее.

• Правки скриптов, подключаемых извне

Работая с внешними скриптами, важно пользоваться относительными ссылками и избавиться от кода. (картинкой хорошо бы пример)

Аналогичным образом происходит работа и с остальными скриптами, пользующимися спросом среди вебмастеров: Google Analytics, Javascript, LiveInternet, Яндекс.Метрика и Яндекс.Директ. Сервисы, пользующиеся HTTP-соединением, могут доставить хлопот. Подготовка требует немало времени и сил, поэтому программисты рекомендуют делать её в летний сезон, когда трафик падает. Когда речь идет о платной услуге переноса, процесс может занять у опытного программиста от 1 часа до нескольких дней. Если провести необходимые подготовительные работы вовремя, никаких сложностей не возникнет.

1. SSL-сертификат

Оптимальным вариантом для сайтов юридических и физических лиц с одним доменом являются простые SSL-сертификаты. Версия защищенного протокола Extended Validation разработана для юридических лиц, включает валидацию данных о фирме и в адресной строке отображает зеленым цветом наименование компании. Для ресурсов с поддоменами созданы SSL-сертификаты Wildcard. Для кириллических сайтов подойдут защищенные протоколы с IDN.

Как только вы определитесь с SSL-сертификатом, который подходит в вашем случае, можно будет перейти к его установке на сайт. Если такая услуга предусмотрена вашим хостером, достаточно зайти в панель управления сайтом и применить полученный защищенный протокол HTTPs. Чтобы сделать всё правильно без особых усилий, можно обратиться за помощью к технической поддержке или просто заплатить программисту. Дело в том, что сервер, на котором работает ваш сайт, тоже должен поддерживать работу защищенного протокола. Информацию об этом лучше уточнить заранее. Если ваш хостинг не поддерживает технологии SSL, лучше сменить провайдера таких услуг.

Когда все работы по переходу на новый протокол будут завершены, нужно обязательно проверить доступность вебсайта по HTTPs и HTTP. Сайт должен открывать по обоим адресам, иначе придется искать причину технической неполадки.

1. Настройка ресурса

Не менее важным этапом работы является налаживание работы сайта после внесенных изменений:

• Директива Host в robots.txt

Для поисковиков HTTPs и HTTP совсем не одно и тоже. Именно владелец сайта должен позаботиться о том, чтобы в поисковой выдаче остались только страницы, работающие под защищенным протоколом. В противном случае большая доля посетителей сайта будет потеряна. Чтобы сайт корректно работал в Яндексе, нужно прописать в директиве Хост, соответствующий код:

Host: https://site.com

Такая информация свидетельствует о том, что только HTTPs версия главная на фоне других зеркал вашего ресурса.

• Редирект 301 между HTTP и HTTPs

С недавних пор владельцы сайтов могут больше не ждать от Яндекса переклейки зеркал, чтобы настроить перенаправление посетителей сайта. Настройку редиректа 301 можно выполнить сразу же после приобретения и установки сертификата SSL, что позволит не потерять трафик из Google. На этот раз изменения необходимо вносить в файл .htaccess: (пример картинкой). Если такие правки не приведут к желаемому результату, придется обратиться за помощью к хостеру.

• Устранение ошибок

Проверить сайт на доступность и наличии каких-либо ошибок в работе тоже ваша задача. В адресной строке обязательно должен отображаться замок, перенаправления должны работать во все стороны. При необходимости внесите правки.

1. Уведомление поисковых систем об изменениях

Сделать это удобнее всего через панель для вебмастеров, добавив туда HTTPs версию ресурса. Такие манипуляции для Яндекса и Гугла необходимо сделать по отдельности, после чего в списке будут отображаться обе версии HTTPs и HTTP. С поисковиком Google всё довольно просто, так как настройка состоит главным образом из редиректа 301. Для Яндекса же следует задать установку протокола HTTPs в роли главного зеркала через настройки индексирования.

Дополнительные настройки также придется выполнить вручную, иначе будут не состыковки между восприятием старой и новой версии. Речь идет о настройке геотаргетинга, карты сайта Sitemap.xml, а также исключенных ссылок URL и Disawov Tool в поисковой системе Google.

1. В ожидании результата

Теперь ваша работа завершена, а пользование сайта стало полностью безопасным для клиентов. Поисковым системам понадобится немного времени для регистрации изменений, но они совсем скоро вступят в силу.