SSL-сертификат: бесплатный или платный — что выбрать бизнесу

Бесплатный и платный SSL-сертификаты шифруют данные одинаково надёжно. Разница между ними не в защите, а в том, что именно проверено перед выпуском и какие гарантии и сервис вы получаете. Блогу, визитке, лендингу и большинству небольших магазинов достаточно бесплатного сертификата Let's Encrypt с автопродлением. Платный нужен, когда требуется подтвердить существование компании, когда этого требует партнёр или банк либо когда автоматический выпуск технически невозможен. Ниже — чем отличаются типы сертификатов, от чего зависит цена и как выбрать без переплаты.

Зачем сайту SSL и что он делает

SSL-сертификат включает на сайте защищённое соединение по протоколу HTTPS: данные между браузером посетителя и сервером передаются в зашифрованном виде, и перехватить по дороге логин, пароль или номер карты нельзя. Сегодня это обязательное требование для любого сайта. Без сертификата браузеры помечают страницу как небезопасную, а поисковые системы учитывают наличие HTTPS при оценке сайта.

Сертификат решает две задачи: шифрует соединение и подтверждает, что посетитель попал именно на тот сайт, адрес которого видит в строке браузера. Шифрование у всех сертификатов одинаковое. Различается вторая часть — насколько глубоко проверен владелец. Отсюда и дилемма, которая встаёт перед владельцами компаний: взять свободное решение от Let's Encrypt или потратить бюджет на коммерческий продукт.

В чём сходство и разница бесплатного и платного SSL

С точки зрения шифрования разницы нет. И коммерческий, и бесплатный сертификат защищают передаваемую информацию одними и теми же алгоритмами, включая AES, и одинаково оберегают логины, пароли и данные карт от перехвата. Значок замка в адресной строке тоже выглядит одинаково. Главное отличие кроется в уровне доверия и юридических гарантиях.

Что такое DV, OV и EV

Сертификаты делятся на три класса по тому, что проверил удостоверяющий центр — организация, которая их выпускает.

• DV (Domain Validation) подтверждает только то, что заявитель управляет доменом. Проверку делает робот, без участия людей. Бесплатные сертификаты всегда относятся к этому классу, но платные DV тоже существуют.
• OV (Organization Validation) — кроме домена проверяют компанию: реальное существование, регистрационные документы, телефон. В сведениях о сертификате появляется название организации.
• EV (Extended Validation) — самая строгая проверка юридического лица. Раньше браузеры показывали название компании зелёной строкой рядом с адресом. От этого отказались: теперь оно видно, только если открыть сведения о сертификате.

Посетитель не отличит DV от OV, пока не нажмёт на замок. Платный сертификат — не «более заметная защита», а документ для тех, кто проверяет: партнёров, банков и служб безопасности заказчиков.

Когда бесплатного сертификата достаточно

Бесплатный вариант выдаётся автоматически и подтверждает только то, что домен принадлежит конкретному серверу. В большинстве случаев этого хватает:

• информационные сайты и блоги;
• сайты-визитки и корпоративные сайты с формой заявки;
• лендинги под рекламу;
• небольшие магазины, где оплата идёт через платёжный сервис: данные карты покупатель вводит на его защищённой странице, а не на вашем сайте;
• тестовые копии, внутренние сервисы и поддомены.

Нужен ли магазину сертификат посерьёзнее, зависит от способа приёма оплаты и требований банка — эту тему мы разобрали в статье SSL для интернет-магазина. А если у сайта много поддоменов, пригодится wildcard-сертификат: бесплатные центры выпускают и такие.

Главное условие — исправное автопродление. Бесплатный сертификат живёт 90 дней, и если автоматика сломается, браузер начнёт встречать посетителей предупреждением. Как устроен этот механизм и почему он даёт сбои, описано в статье про автопродление Let's Encrypt.

Когда бизнесу нужен платный сертификат

Для части коммерческих проектов, крупных интернет-магазинов и корпоративных порталов автоматического подтверждения домена недостаточно. Платный продукт оправдан в таких ситуациях:

• Нужна проверка организации. Перед выдачей сертификата класса OV специалисты центра проверяют, что компания действительно существует, сверяют регистрационные документы и телефоны. Это повышает статус бренда в глазах тех, кто смотрит в сведения о сертификате.
• Этого требует партнёр. Банк, платёжная система, крупный заказчик или условия тендера иногда прямо называют нужный класс сертификата.
• Важна юридическая страховка. Коммерческие удостоверяющие центры дают финансовую гарантию: если ущерб возник из-за ошибки центра при выпуске, пострадавшей стороне обещана компенсация. Случаи выплат единичны, и считать гарантию страховкой бизнеса не стоит, но у бесплатных сертификатов её нет вовсе.
• Автоматический выпуск невозможен. Старое оборудование, нестандартная инфраструктура, сервисы без доступа из интернета — там, где робот не может подтвердить домен каждые три месяца.
• Нужна поддержка. При покупке вам помогут выпустить, установить и перевыпустить сертификат. С бесплатным вы разбираетесь сами или с хостером.

Раньше в этом списке был ещё один довод — срок: платный сертификат выдавали сразу на год, и не приходилось зависеть от автоматики. Сейчас отраслевые правила поэтапно сокращают максимальный срок жизни любых сертификатов, поэтому перевыпускать их приходится чаще, даже если оплачен год вперёд. Актуальные сроки уточняйте у продавца, а продление в любом случае лучше автоматизировать.

Сколько стоит платный SSL и от чего зависит цена

Единой цены нет: самый простой и самый строгий сертификаты различаются в стоимости многократно. На итоговую сумму влияет несколько факторов.

• Уровень проверки. DV — самый дешёвый, OV дороже, EV — самый дорогой.
• Сколько адресов защищает. Один домен, домен со всеми поддоменами или несколько разных доменов в одном сертификате.
• Удостоверяющий центр. Известное имя стоит дороже при той же технической защите.
• Продавец. У хостинга или партнёра центра тот же сертификат нередко дешевле, чем напрямую.
• Установка. Она может входить в цену или оплачиваться отдельно.

Платный сертификат класса DV по защите не отличается от бесплатного: вы платите за поддержку и гарантию. Если ни то ни другое не требуется, доплата ничего не даст.

Влияет ли тип сертификата на SEO и доверие покупателей

Поисковым системам важно, что сайт работает по HTTPS без ошибок. Платный сертификат преимуществ в выдаче не даёт — бесплатный выполняет ту же задачу.

Для посетителя замок выглядит одинаково при любом сертификате. Доверие создают понятные реквизиты, отзывы, условия оплаты и возврата. А разрушает его предупреждение браузера: истёкший сертификат или смешанный контент, когда часть страницы по-прежнему загружается по незащищённому протоколу. Работающий бесплатный сертификат лучше просроченного платного.

Российские сертификаты и ограничения зарубежных центров

Отдельный случай — сертификаты российского Национального удостоверяющего центра Минцифры, которыми пользуются банки и государственные сервисы. По умолчанию им доверяют Яндекс Браузер и «Атом», а в остальных браузерах посетитель увидит предупреждение, пока сам не установит корневой сертификат. Для обычного коммерческого сайта в качестве единственного варианта они не подходят.

Вторая особенность: часть зарубежных удостоверяющих центров не выпускает сертификаты для российских компаний или доменов. Уточняйте это у продавца до оплаты, особенно если нужен OV или EV.

Как выбрать сертификат: пошагово

1. Выясните, есть ли внешние требования: договор с банком, платёжным сервисом, заказчиком. Если там назван класс сертификата, вопрос решён.
2. Определите, что нужно защитить: один домен, домен с поддоменами или несколько разных доменов.
3. Проверьте, выпускает ли ваш хостинг бесплатный сертификат автоматически. У большинства хостеров это одна кнопка в панели.
4. Если требований нет и автоматика работает, ставьте бесплатный сертификат и убедитесь, что продление включено.
5. Если нужна проверка организации, подготовьтесь: сведения о компании в государственном реестре должны совпадать с заявкой, а телефон — быть доступным для проверочного звонка.
6. После установки настройте переадресацию с HTTP на HTTPS и пройдите по основным страницам: замок должен быть везде. Если браузер ругается, причины и решения собраны в статье «Подключение не защищено».
7. Поставьте напоминание или мониторинг на дату окончания сертификата — даже при включённом автопродлении.

Какой сертификат выбрать: разбор по типам сайтов

Частые ошибки

• Платить за DV «для надёжности». Защита та же, что у бесплатного, меняются только сервис и гарантия.
• Считать бесплатный сертификат небезопасным. Его выпускает признанный браузерами центр, шифрование полноценное.
• Поставить и забыть. Автопродление ломается после переезда на другой сервер, смены DNS или настроек. Срок действия нужно отслеживать.
• Покупать EV ради зелёной строки. Браузеры её давно не показывают.
• Забыть про поддомены и вариант с www. Сертификат должен покрывать все адреса, по которым открывается сайт.
• Оставить сертификат в аккаунте подрядчика. Доступ к продлению должен быть у владельца бизнеса.

Коротко

Бесплатный и платный сертификаты шифруют одинаково. Бесплатного DV с автопродлением хватает блогам, визиткам, лендингам и небольшим магазинам. Платный OV или EV нужен, когда требуется подтверждённая проверка компании, когда его требует партнёр или когда автоматический выпуск невозможен. На позиции в поиске тип сертификата не влияет — влияет только то, работает ли HTTPS без ошибок.

Если сомневаетесь, какой вариант необходим вашей компании, напишите нам: подберём и установим SSL-сертификат под ваши задачи и настроим продление, чтобы о нём не пришлось вспоминать.