Как сделать защищённый сайт?

Пометка «Не защищено» в браузере означает, что сайт открывается по HTTP без SSL-сертификата или сертификат установлен с ошибкой — истек, не покрывает нужный домен или подключен только на часть страниц. Чтобы убрать предупреждение, нужно установить действующий SSL-сертификат на весь домен и настроить постоянный редирект с http на https, включая все внутренние ссылки и изображения на сайте.

Часто корень проблемы не в отсутствии сертификата, а в так называемом смешанном контенте: сайт открывается по https, но часть картинок, скриптов или шрифтов подгружается по старым http-ссылкам, оставшимся в базе или коде. Браузер видит незащищенный элемент внутри защищенной страницы и все равно показывает предупреждение, хотя сертификат стоит и работает исправно.

Проверить это можно через консоль разработчика в браузере (клавиша F12, вкладка Console) — там видны предупреждения о заблокированных http-запросах с указанием конкретных файлов. Дальше эти адреса меняют на https или на относительные ссылки без протокола.

Бесплатные сертификаты Let’s Encrypt переиздаются каждые 90 дней, и если хостинг не продлевает их автоматически, сайт рано или поздно возвращается к тому же предупреждению — стоит проверить, что автопродление действительно настроено, а не просто было включено один раз при установке.