Как защитить сайт HTTPS?

Чаще всего дело не в сертификате, а в смешанном контенте: часть картинок, скриптов или ссылок на странице до сих пор грузится по http:// вместо https://, и браузер помечает такую страницу как частично незащищённую. Проверить это можно в консоли разработчика (клавиша F12, вкладка Console) — там будут строки с пометкой Mixed Content и адресами проблемных файлов.

На WordPress такое обычно вылезает после переезда на HTTPS: старые ссылки на изображения и вложения в базе данных остались с http://. Чинится массовой заменой через wp-cli командой wp search-replace или плагином вроде Better Search Replace. Руками менять записи в базе не стоит — там встречаются сериализованные данные, и обычный SQL-запрос их поломает.

Дальше проверьте ещё три вещи. В .htaccess должен стоять принудительный 301-редирект с http на https для всего сайта. В файле sitemap.xml все адреса должны начинаться с https, иначе поисковик путается, какая версия основная. Внешние виджеты вроде карт или видео тоже стоит перепроверить: если они подключены по http, замочек снова пропадёт.

Бесплатные сертификаты вроде Let’s Encrypt продлеваются автоматически каждые 90 дней, но если продление настроено вручную или криво, сертификат может просрочиться незаметно — тогда браузер начнёт ругаться уже не на смешанный контент, а на саму защиту соединения. Раз в квартал стоит просто открыть сайт и глянуть на дату сертификата.