Как сделать защищённый протокол HTTPS на сайте?

Чтобы получить https, нужно установить SSL-сертификат на сервере и настроить редирект со старого http-адреса на новый. У большинства российских хостингов это делается в панели управления: раздел вроде «SSL» или «Безопасность», кнопка выпуска бесплатного сертификата Let’s Encrypt, который выпускается автоматически за несколько минут и сам продлевается каждые три месяца. Ручная возня с ключами и заявками почти всегда не нужна.

Порядок такой. Сначала убеждаетесь, что домен уже указывает на нужный сервер, сертификат не выпустится, если DNS еще не устоялся. Дальше в панели хостинга включаете SSL для домена и ждете, обычно от нескольких минут до получаса. После этого сайт открывается и по http, и по https одновременно, это нормальное переходное состояние.

Финальный шаг, о котором часто забывают: настроить принудительный редирект с http на https через 301, чтобы старые ссылки и закладки посетителей автоматически вели на защищенную версию, а не показывали предупреждение. На большинстве хостингов это тоже галочка в панели, вручную это несколько строк в файле .htaccess.

После включения https может вылезти неприятный побочный эффект: замок в адресной строке снова показывает предупреждение, хотя сертификат стоит. Причина почти всегда одна, часть картинок, скриптов или подключенных виджетов на странице по-прежнему грузится по старому http-адресу, это называется смешанным контентом. Такие ссылки чаще всего сидят в тексте старых записей и в настройках темы, их находят через консоль браузера (F12, вкладка Console) или обходом сайта краулером и заменяют на https-версию.

Если после включения SSL сайт продолжает жаловаться на незащищенность, дело почти наверняка именно в смешанном контенте, а не в самом сертификате, и лечится точечной правкой ссылок, а не переустановкой SSL заново.