Почему сайт без SSL опасен в 2026 году и как поставить сертификат бесплатно

Бесплатный сертификат ставится за пару минут из панели хостинга и закрывает задачу для сайта услуг и магазина. Платить есть смысл только за сертификат на все поддомены сразу. Сайт без защищённого протокола теряет посетителей на предупреждении браузера и нарушает требования к формам с персональными данными.

Сайт без SSL в 2026 году выглядит примерно как магазин без вывески и с заколоченной дверью: люди приходят, видят что-то странное и уходят. Браузер сразу пишет «Не защищено», Яндекс снижает позиции, форма с ПДн без HTTPS — это нарушение 152-ФЗ. При этом поставить нормальный SSL стоит ноль рублей и тридцать минут времени. В статье разберём, что реально теряет сайт без HTTPS, какие сертификаты бывают, как поставить бесплатный Let’s Encrypt на типичном российском хостинге и что делать, если хостинг сопротивляется.

Почему в 2026 без HTTPS сайт теряет посетителей

С каждым годом браузеры всё агрессивнее давят сайты на HTTP. В 2026 ситуация такая.

Браузерные предупреждения

Chrome (и все его клоны — Edge, Brave, Opera, Vivaldi) показывают на HTTP-сайте плашку «Не защищено» в адресной строке. Если на странице есть форма ввода — текст «Не защищено» подсвечивается красным. У формы появляется отдельный варнинг при попытке что-то ввести.

Firefox делает то же самое. В случае ввода пароля или платёжных данных — открывается всплывающее окно с предупреждением.

Яндекс Браузер — аналогично. Плюс у Яндекса своя ML-модель, которая дополнительно может снизить выдачу для HTTP-сайтов в коммерческой нише.

Поисковая выдача

И Яндекс, и Google официально считают HTTPS фактором ранжирования. Не самым весомым, но реальным. В коммерческой нише, где конкуренция жёсткая, отсутствие HTTPS — готовый минус полпозиции против конкурента, у которого замочек горит.

Дополнительно Google Search Console для HTTP-сайтов показывает предупреждение «Не используется HTTPS» в разделе «Безопасность и удобство». Не критично, но висит мозоль на глазах.

Конверсия

Тут цифры от моих клиентов. Сайт услуг переехал с HTTP на HTTPS, конверсия в форму выросла на 12% за месяц при тех же источниках трафика. Не магия: люди стали меньше отваливаться на этапе «что-то не так».

В e-commerce эффект ещё заметнее. Покупатель видит «Не защищено» и закрывает вкладку, особенно если заходит с мобильного, где плашка занимает половину адресной строки.

152-ФЗ

Если на сайте есть форма с именем, телефоном, email — вы оператор персональных данных. Передача ПДн по открытому каналу (HTTP) — это нарушение требований защиты при передаче. РКН в 2025-2026 годах начал штрафовать за это активнее, хоть и не всегда системно.

Помимо штрафа, есть субъективная сторона: у человека, который ввёл свой телефон в форму без HTTPS, через два часа звонит «Сбербанк» с подозрительной просьбой. Совпадение или нет — вопрос открытый, но впечатление от вашего сайта уже подпорчено.

Какие бывают сертификаты

В мире SSL/TLS есть три типа сертификатов по уровню валидации.

DV — Domain Validation

Подтверждается только владение доменом. Никаких проверок, кто вы, что у вас за компания. Выдаётся быстро, обычно за минуты, автоматически. Это про Let’s Encrypt, ZeroSSL, Buypass, и условные платные DV у регистраторов.

В адресной строке от платного DV ничем не отличается от бесплатного: тот же замочек, никаких «Зелёная компания» и подобного.

OV — Organization Validation

Удостоверяющий центр проверяет, что вы реально организация: смотрит выписку из реестра, звонит по телефону, может попросить документы. Выдача занимает 1-5 дней.

В браузерах разница небольшая: при клике на замочек видно название организации. Юридическим лицам с серьёзным позиционированием иногда полезно. Малому бизнесу обычно не нужно.

EV — Extended Validation

Расширенная проверка с глубокой юридической экспертизой. Раньше браузеры показывали зелёную полоску с названием компании — сейчас этого нет, ни Chrome, ни Firefox, ни Safari больше не отрисовывают зелёную ленту. Преимуществ для пользователя стало почти ноль, а стоимость и время проверки остались высокими.

EV обычно покупают банки и крупные госструктуры по корпоративным регламентам. Малому бизнесу — бесполезная трата.

Что нужно малому бизнесу

В 99% случаев — DV-сертификат. Бесплатный Let’s Encrypt с автопродлением закрывает все технические задачи: HTTPS работает, замочек горит, браузеры довольны, поисковики тоже. Никакой разницы в реальной защите канала между Let’s Encrypt и платным DV нет.

Когда DV-Let’s Encrypt не подойдёт: — Хостинг технически не позволяет ставить (бывает у самых дешёвых тарифов). — Нужен wildcard на много поддоменов и хостинг не умеет автоматизировать DNS-валидацию. — Корпоративная политика требует определённого УЦ.

Как поставить Let’s Encrypt на типичных российских хостингах

Большинство российских хостеров умеет ставить Let’s Encrypt в один клик. Реже встречаются ситуации, когда надо повозиться. Прохожусь по самым популярным.

Timeweb (ISPmanager / cPanel)

Заходите в панель, раздел «Сайты» или «WWW-домены», кликаете по своему сайту. Вкладка «SSL» или «Сертификаты». Там кнопка «Установить Let’s Encrypt». Жмёте, выбираете домены (основной и www.), подтверждаете. Через 2-3 минуты сертификат выпущен и установлен.

Автопродление включается автоматически. Проверить можно через 60-70 дней — сертификат должен переоформиться сам.

Beget

В панели Beget выбираете «Домены и поддомены», у нужного домена жмёте «Бесплатный SSL от Let’s Encrypt». Подтверждаете email, ждёте пару минут.

Один нюанс: после установки иногда надо вручную в .htaccess прописать редирект с HTTP на HTTPS, Beget не всегда делает это сам. Об этом чуть ниже.

Reg.ru

Похоже на Timeweb. Раздел «Сертификаты», выбор «Установить бесплатный Let’s Encrypt», выбор сайта. Срок выдачи — до получаса. Автопродление есть.

Selectel и хостинги на VPS

Если у вас VPS — ставится через certbot. Команды на Ubuntu:

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d example.ru -d www.example.ru

Certbot спросит email и согласие с правилами Let’s Encrypt, потом сам пропишет конфиг nginx и перезагрузит его. Автопродление — через systemd timer, проверить:

systemctl status certbot.timer

Если сервер на Apache — --apache вместо --nginx. Для standalone-режима (если порт 80 свободен) — --standalone.

Reg.ru / ihc / прочие «панели хостинга от вендора Х»

Логика одинаковая. Ищете в панели «SSL», «Сертификаты», «TLS». Если кнопки нет — идёте в техподдержку с прямым вопросом «поставьте бесплатный Let’s Encrypt на мой домен». Хороший хостер ставит за 15 минут без вопросов.

Что просить у хостера, если SSL не ставится

Иногда панель показывает ошибку «не удалось получить сертификат». Чаще всего причины:

• Домен ещё не делегирован на этот хостинг (DNS не отвечает или указывает на другой IP).
• На сайте есть редирект с HTTP на другой домен, и Let’s Encrypt не может выполнить ACME-валидацию.
• Стоит CDN (Cloudflare, например), который перехватывает запросы Let’s Encrypt.

В обращении к хостеру явно укажите доменное имя и попросите проверить логи попытки выпуска. Обычно отвечают, что именно мешает.

Как проверить, что сертификат корректно установлен

Установить — половина дела. Надо убедиться, что нет смешанного контента, что HTTPS работает на всех страницах, и что редирект с HTTP на HTTPS поднят.

Базовые проверки в браузере

Открываете сайт по https://example.ru/. В адресной строке должен быть замочек без перечёркиваний и без жёлтых треугольников. Кликаете на замочек — видите «Соединение защищено», «Сертификат действителен».

Проверяете несколько страниц: главную, типичную внутреннюю, страницу с картинками, страницу с формой. Если хотя бы где-то выскакивает «Не полностью защищено» — значит на этой странице есть смешанный контент.

Проверка с командной строки

Самая полная проверка SSL-конфигурации:

curl -vI https://example.ru/ 2>&1 | grep -E "subject|issuer|expire"
openssl s_client -connect example.ru:443 -servername example.ru < /dev/null 2>/dev/null | openssl x509 -noout -dates -subject -issuer

Покажет даты выдачи, истечения, кому выпущен и кем.

SSL Labs

Заходите на ssllabs.com/ssltest/, вставляете домен. Тест идёт минут 5-7, выдаёт оценку от A+ до F. Цель — получить минимум A. Если A- или ниже — смотрите детали:

• «Server supports TLS 1.0 / 1.1» — надо отключить, оставить только 1.2 и 1.3.
• «Weak cipher suites» — убрать слабые шифры.
• «No HSTS» — желательно включить (но осторожно, см. ниже).

На большинстве хостингов настройки выставлены адекватно по умолчанию, пересматривать не приходится.

Поиск смешанного контента

Смешанный контент (mixed content) — это когда страница загружается по HTTPS, но картинки, скрипты, стили или шрифты подключены по HTTP. Браузер либо блокирует их (скрипты, стили), либо показывает с жёлтым варнингом (картинки).

Открываете DevTools (F12), вкладка Console. Если в консоли есть строки вида:

Mixed Content: The page at 'https://example.ru/' was loaded over HTTPS,
but requested an insecure element 'http://example.ru/img/logo.png'.
This request was automatically upgraded to HTTPS.

Значит надо найти и поправить эти ссылки. В WordPress часто помогает плагин Better Search Replace — заменяете http://example.ru на https://example.ru по всей базе.

В контентных страницах вручную смотрите HTML и исправляете. В шаблоне темы тоже бывают захардкоженные http:// — правите в header.php, footer.php, файлах sidebar.

Редирект с HTTP на HTTPS

Без редиректа всё бессмысленно: сайт продолжает быть доступен по HTTP, поисковики индексируют две версии, у пользователей закладки и внешние ссылки ведут на HTTP-вариант.

Apache (.htaccess)

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Кладёте в самое начало .htaccess в корне сайта. Это самое надёжное правило, оно не зависит от того, как называется домен и есть ли префикс www.

Nginx

server {
    listen 80;
    server_name example.ru www.example.ru;
    return 301 https://$host$request_uri;
}

Отдельный server-блок на 80-м порту, который только редиректит. Основной HTTPS-блок остаётся отдельно.

Через WordPress

Если вы не хотите править .htaccess, в WP-админке: Настройки — Общие — «Адрес WordPress» и «Адрес сайта», меняете http:// на https://. WordPress сам пропишет редирект через функции ядра.

Но это работает только когда WordPress уже отдаёт страницу. Если на уровне .htaccess редирект не настроен — запросы к /wp-content/uploads/ и подобным статическим путям пойдут по HTTP. Поэтому делать оба редиректа не повредит.

HSTS — осторожно

Заголовок Strict-Transport-Security говорит браузеру «ходи на этот домен только через HTTPS, никогда через HTTP, минимум столько-то секунд». Усиливает безопасность.

Минимальный пример:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

Внимание: после установки HSTS на год, если сертификат вдруг истечёт или сломается — браузеры будут отказывать в доступе и не пустят даже через «Дополнительно — перейти всё равно». Включайте, когда уверены, что HTTPS у вас работает стабильно и автопродление настроено.

Что делать, если хостинг не даёт ставить Let’s Encrypt

Бывает редко, но бывает. Варианты решения по нарастающей.

Cloudflare (или аналог) перед хостингом

Регистрируете бесплатный аккаунт Cloudflare, переключаете на их NS-серверы. В Cloudflare включаете SSL в режиме «Flexible» или «Full». Cloudflare сам выдаёт сертификат на ваш домен, на хостинг идёт HTTP, но для пользователей сайт открывается по HTTPS.

Минусы: — В режиме Flexible связь Cloudflare-хостинг по-прежнему по HTTP, что не идеально с точки зрения безопасности (но лучше, чем совсем без HTTPS). — Для российского трафика Cloudflare не всегда быстрый и иногда блокируется. С 2022 года ситуация нестабильная, периодически проседает.

В 2026 году я обычно не рекомендую CDN-обёртки для русскоязычной аудитории. Лучше нормальный российский хостинг.

ZeroSSL вручную

Если хостинг не умеет автоматизировать, но даёт загружать сертификаты вручную — регистрируетесь на zerossl.com, генерируете сертификат через DNS-валидацию (потребуется добавить TXT-запись в DNS), скачиваете .crt и .key, загружаете в панель хостинга в раздел SSL.

Срок действия 90 дней, потом надо повторить. На постоянку — это боль. Используется как временное решение.

Сменить хостинг

Если ваш хостер не умеет ставить Let’s Encrypt в 2026 году — это сильный сигнал, что хостер устарел. Перенос на нормального провайдера обычно проще, чем годами мучиться с ручной установкой сертификатов.

Чек-лист после установки

Пункт	Готово
Сертификат установлен и виден замочек в браузере	да / нет
HTTP редиректит на HTTPS на всех страницах	да / нет
Нет смешанного контента (DevTools — Console)	да / нет
Адреса в админке CMS прописаны как https://	да / нет
Внутренние ссылки в шаблоне без http://	да / нет
Sitemap.xml содержит URL только с https://	да / нет
В Яндекс Вебмастере добавлен HTTPS-вариант	да / нет
В Search Console добавлен HTTPS-property	да / нет
Sitemap пересобран и подан в обоих кабинетах	да / нет
SSL Labs показывает A или A+	да / нет
Автопродление работает (проверка через 70 дней)	да / нет

Без этого чек-листа вы рискуете оказаться в ситуации «сайт переехал на HTTPS, а в Яндексе он всё ещё HTTP, и индексируется как два разных сайта». Так бывает чаще, чем хочется.

Особый случай: магазин с эквайрингом

Если у вас на сайте есть оплата картой через эквайринг, требования жёстче. Эквайер (Сбер, Тинькофф, Альфа, ЮKassa) при подключении проверяет ваш сайт по PCI DSS. Минимум там:

• TLS 1.2+ (1.3 предпочтительно).
• Без SSLv3, TLS 1.0, TLS 1.1.
• Сильные шифры, без RC4, 3DES, без NULL-шифров.
• Сертификат от любого валидного УЦ — Let’s Encrypt подходит.

На обычном shared-хостинге это обычно из коробки. Если эквайер всё равно отказывает — просите хостера показать конфигурацию TLS и подкручивайте.

Что ещё стоит сделать вместе с переходом на HTTPS

Раз уж лезете в .htaccess и ssl-конфиги, добавьте сразу несколько полезных заголовков:

Header always set X-Content-Type-Options "nosniff"
Header always set X-Frame-Options "SAMEORIGIN"
Header always set Referrer-Policy "strict-origin-when-cross-origin"
Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"

Они не относятся к SSL напрямую, но улучшают общий security score сайта и закрывают небольшие классы атак (clickjacking, MIME-sniffing). Securityheaders.com проверяет, какие заголовки есть, и выставляет оценку.

Когда стоит заплатить за платный сертификат

Случаев таких немного, но они есть.

• Нужен wildcard-сертификат (*.example.ru) и хостинг не умеет автоматически делать DNS-валидацию для Let’s Encrypt. Платный wildcard от UCC-провайдера решает.
• Корпоративные регламенты требуют конкретного УЦ, например, российский УЦ с аккредитацией Минцифры.
• Финансовый сектор или госструктура, где OV/EV нужен по политике.
• Срок действия больше 90 дней. Платные дают 1 год (максимум по правилам CA/B Forum). Если автоматизация не настроена, реже обновлять удобнее.

Во всех остальных случаях бесплатный Let’s Encrypt полностью закрывает задачи и не уступает платному.

Итог

В 2026 году отсутствие HTTPS на сайте — это не «забыли поставить», это активный минус. Меньше посетителей, ниже позиции в поиске, нарушение 152-ФЗ при формах с ПДн, пометка «Не защищено» в браузере. Установка бесплатного сертификата на нормальном хостинге занимает 10-30 минут и стоит ноль рублей. Дальше нужны редирект с HTTP на HTTPS, чистка смешанного контента, добавление HTTPS-варианта в Вебмастер и Search Console, проверка SSL Labs.

Если хостер не умеет ставить Let’s Encrypt в один клик — это повод задуматься о смене хостера, а не плясать с ручной загрузкой сертификатов каждые 90 дней.

В моих абонементах тариф «Старт» включает первичную установку SSL и настройку всего сопутствующего: редирект, чистка смешанного контента, добавление в Вебмастер. Если у вас сейчас сайт без HTTPS — пишите в контактах, за один заход всё закроем. Другие материалы по безопасности и базовой гигиене сайта лежат в рубрике безопасность.

Частые вопросы

Как получить SSL-сертификат бесплатно

Через панель хостинга. Почти везде есть кнопка выпуска: сертификат ставится за две-три минуты и дальше продлевается сам. На своём сервере то же самое делается штатной утилитой.

Чем бесплатный сертификат хуже платного

Ничем по уровню шифрования. Разница в сроке действия и в наличии проверки организации. Для сайта услуг и магазина бесплатного достаточно.

Что делать, если хостинг не даёт бесплатный

Выпустить сертификат самому и загрузить в панель или сменить хостинг. Предложение купить сертификат за пару тысяч при наличии бесплатного варианта это просто способ продать лишнее.

Что настроить после установки

Редирект с незащищённого протокола, проверку смешанного контента, обновление адреса сайта в настройках CMS и в панелях для вебмастеров. Без этого замок появится не на всех страницах.