SSL для интернет-магазина: почему обязателен и какой выбрать

Интернет-магазину SSL-сертификат нужен обязательно: без него нельзя нормально принимать оплату, браузер помечает сайт как небезопасный, а данные покупателей передаются в открытом виде. Большинству магазинов хватает сертификата с проверкой домена, в том числе бесплатного, — важнее не его цена, а правильная установка: весь сайт работает по HTTPS, нет смешанного контента, продление настроено автоматически. Ниже разберём, что именно защищает SSL в магазине, чего требуют платёжные сервисы, какой тип сертификата выбрать и как перейти на HTTPS по шагам.

Что SSL делает в интернет-магазине

Когда покупатель вводит на сайте телефон, адрес и данные карты, эти данные идут от его браузера к серверу. Без шифрования их можно перехватить — например, в общественной сети Wi-Fi. SSL-сертификат закрывает канал и включает HTTPS — тот самый замок в адресной строке. Для магазина это не опция, а обязательное условие приёма оплат и доверия покупателей.

В магазине по этому каналу проходит больше чувствительных данных, чем на обычном сайте:

• логин и пароль от личного кабинета;
• имя, телефон и адрес доставки;
• состав заказа и история покупок;
• служебная метка входа, по которой сайт узнаёт авторизованного покупателя, — перехватив её, посторонний может попасть в чужой кабинет без пароля;
• данные банковской карты, если платёжная форма открывается на самом сайте.

Кроме защиты, сертификат подтверждает, что покупатель попал именно на ваш сайт, а не на подделку с похожим оформлением.

Зачем магазину SSL: четыре причины

• Защита данных покупателя при оформлении и оплате.
• Доверие. Браузер не пугает посетителя предупреждением «Не защищено». На странице оформления заказа такая надпись — почти гарантированный уход.
• Требование платёжных систем — без HTTPS подключить приём карт не выйдет.
• Плюс к позициям. Поисковики предпочитают сайты на HTTPS, а современные технологии ускорения загрузки, например протокол HTTP/2, в браузерах работают только по защищённому соединению.

Как SSL связан с приёмом оплаты

Онлайн-оплату в магазин подключают через платёжный сервис или банк. Есть два основных способа, и в обоих без HTTPS не обойтись.

Оплата на странице платёжного сервиса. Покупатель нажимает «Оплатить» и переходит на защищённую страницу банка или сервиса, где вводит данные карты. Сам магазин этих данных не видит. Но сервис сообщает сайту о результате оплаты служебным запросом, и адрес для таких уведомлений, как правило, должен быть на HTTPS.

Платёжная форма на сайте магазина. Виджет или встроенная форма открывается прямо на странице оформления. Покупатель не уходит с сайта, и это удобнее, но страница с такой формой обязана работать по HTTPS — иначе сервис её просто не подключит.

Данные карт при этом защищает отдельный отраслевой стандарт — PCI DSS. Когда карту вводят на стороне платёжного сервиса, основные его требования лежат на сервисе, а не на магазине. Поэтому самостоятельно принимать и хранить данные карт малому магазину не нужно и не стоит. Как выбрать способ приёма денег, рассказываем в статье про приём платежей в интернет-магазине.

Что SSL защищает, а что нет

Замок в адресной строке часто понимают как «сайт безопасен». На деле сертификат решает одну задачу — защищает данные в пути между браузером и сервером.

Поэтому сертификат — обязательная, но не единственная мера: обновления движка, надёжные пароли и резервные копии магазину нужны независимо от него.

Какой сертификат выбрать магазину

Замок в браузере показывают все типы сертификатов одинаково. Разница — в глубине проверки владельца, а не в уровне шифрования.

Большинству интернет-магазинов достаточно бесплатного DV-сертификата (например, Let’s Encrypt) — он шифрует данные не хуже платного. Платный OV или EV берут, когда важно показать проверенную организацию или нужны гарантии и поддержка от центра сертификации. Для типового магазина это избыточно. Подробное сравнение — в отдельной статье бесплатный или платный SSL.

Отдельно проверьте, какие адреса должен покрывать сертификат. Обычный действует для основного домена и версии с www. Если у магазина есть поддомены — мобильная версия, отдельный адрес для картинок, региональные витрины, — понадобится wildcard-сертификат, который действует сразу для всех поддоменов, или отдельный сертификат на каждый из них.

Как перевести магазин на HTTPS: пошагово

Для работающего магазина установка сертификата — это небольшой переезд: адреса всех страниц меняются с http:// на https://, и об этом нужно сообщить всем, кто с сайтом связан.

1. Сделайте резервную копию сайта и базы данных.
2. Выпустите и установите сертификат. На большинстве хостингов бесплатный сертификат подключается в панели управления за несколько минут.
3. Убедитесь, что сайт открывается по HTTPS, и переключите на него адрес сайта в настройках движка.
4. Настройте переадресацию с HTTP на HTTPS кодом 301 для всех страниц, чтобы не было дублей. Как это работает, объясняем в статье про 301 редирект.
5. Исправьте ссылки внутри сайта: картинки, стили, скрипты и внутренние ссылки должны вести на HTTPS.
6. Обновите адреса в личном кабинете платёжного сервиса: адрес сайта, страницы возврата после оплаты и адрес для уведомлений.
7. Проверьте все интеграции: обмен с учётной системой, службы доставки, товарные фиды для маркетплейсов и рекламы, CRM, сервисы рассылок.
8. Обновите карту сайта и сообщите поисковикам: в Яндекс Вебмастере добавьте версию на HTTPS и укажите переезд в разделе «Переезд сайта».
9. Сделайте тестовый заказ с оплатой — с компьютера и с телефона.

Поисковикам нужно время, чтобы признать версию на HTTPS главной, — обычно это несколько недель. На это время возможны небольшие колебания позиций; при правильно настроенной переадресации они проходят сами.

Смешанный контент: почему после установки нет замка

Смешанный контент — это когда страница открыта по HTTPS, а часть её содержимого загружается по старому незащищённому адресу. Браузер в таком случае убирает замок или блокирует эти файлы, и страница может отображаться с ошибками.

В магазинах это встречается особенно часто, потому что контента много и он попадает на сайт разными путями:

• фотографии товаров, загруженные при импорте каталога со старыми адресами;
• картинки, которые подтягиваются напрямую с сайта поставщика;
• описания товаров, куда ссылки на изображения вставлены вручную;
• сторонние виджеты: онлайн-чат, отзывы, карта, калькулятор доставки;
• старые баннеры и скрипты счётчиков.

Проверять нужно не только главную, но и карточки товаров, корзину и особенно страницу оформления заказа. Как найти и убрать такие файлы, рассказываем в статье про смешанный контент.

Автопродление: чтобы магазин не «покраснел»

У сертификата есть срок действия. Бесплатные сертификаты Let’s Encrypt живут 90 дней, у платных срок больше, но и он по отраслевым правилам постепенно сокращается. Если сертификат истёк, браузер показывает покупателю предупреждение на весь экран, и продажи останавливаются — причём нередко в выходные, когда никто не следит.

• Сертификат должен продлеваться автоматически. На хостинге это обычно включено по умолчанию, на своём сервере настраивается отдельно.
• Автоматика иногда ломается: после смены DNS, переезда на другой сервер или изменения настроек. Почему так бывает, разбираем в статье про автопродление Let’s Encrypt.
• Поставьте напоминание или подключите мониторинг, который предупредит за пару недель до окончания срока.
• Платный сертификат продлевают заранее: проверка организации занимает время.

Что именно увидит покупатель и как быстро всё исправить, описано в материале что будет, если SSL истёк.

Частые ошибки

• HTTPS включён только на странице оплаты. Защищать нужно весь сайт: кабинет, корзину, формы и каталог.
• Нет переадресации. Сайт открывается и по HTTP, и по HTTPS — поисковики видят две копии, а часть покупателей попадает на незащищённую.
• Забыли про поддомены. Основной сайт с замком, а мобильная версия или адрес с картинками — без него.
• Не обновили адреса в платёжном сервисе. Деньги списываются, а заказ на сайте остаётся неоплаченным, потому что уведомление ушло на старый адрес.
• Не проверили интеграции. Обмен с учётной системой или выгрузка товаров перестали работать, и это заметили через неделю.
• Сертификат продлевается вручную. Рано или поздно о нём забывают.
• Считают замок полной защитой. Сертификат не спасает от взлома через устаревший плагин или простой пароль администратора.

Чек-лист: SSL в магазине настроен правильно

• Все страницы сайта открываются по HTTPS, замок есть на каждой.
• С HTTP настроена переадресация 301 на HTTPS.
• Сертификат покрывает домен, версию с www и все рабочие поддомены.
• На карточках товаров и в оформлении заказа нет смешанного контента.
• В платёжном сервисе указаны адреса на HTTPS, тестовая оплата проходит.
• Интеграции с доставкой, учётной системой и фидами работают.
• Версия на HTTPS добавлена в Яндекс Вебмастер.
• Автопродление включено, дата окончания сертификата под контролем.

Коротко

SSL для магазина обязателен: он защищает данные покупателей, нужен для приёма оплаты и убирает предупреждения браузера. Типовому магазину хватает DV-сертификата, включая бесплатный. Основные проблемы возникают не с выбором, а с установкой: смешанный контент на карточках товаров, забытые адреса в платёжном сервисе и сертификат, который вовремя не продлили.

Поможем подобрать и установить сертификат, настроить HTTPS и переадресацию, чтобы магазин принимал оплату и не пугал покупателей.