01.11.2024

Адміністрація

Безпека

Як перейти на HTTPS для вашого веб-сайту: Повний покроковий посібник

Перехід вашого веб-сайту з HTTP на HTTPS більше не є опціональним — це фундаментальна вимога для будь-якого сучасного веб-сайту. HTTPS (Hypertext Transfer Protocol Secure) шифрує дані, які обмінюються між вашим сервером та браузерами відвідувачів, захищаючи конфіденційну інформацію від перехоплення, підробки та прослуховування. Крім безпеки, HTTPS безпосередньо впливає на ваш рейтинг у пошуку Google, індикатори довіри браузера та коефіцієнти конверсії користувачів. Якщо ваш сайт все ще працює на простому HTTP, ви активно втрачаєте трафік, довіру та дохід.

Цей комплексний посібник проведе вас через кожен крок, необхідний для правильної міграції вашого веб-сайту на HTTPS, від отримання SSL сертифіката до перевірки вашої остаточної конфігурації.

Чому перехід на HTTPS важливий

Перш ніж переходити до технічних кроків, варто розуміти, що на кону:

Безпека: HTTPS використовує SSL/TLS шифрування для захисту даних під час передачі, включаючи облікові дані для входу, деталі платежів та особисту інформацію.
Сигнали рейтингу SEO: Google підтвердив HTTPS як фактор рейтингу з 2014 року. Сайти без нього штрафуються в результатах пошуку.
Попередження браузера: Chrome, Firefox та Edge активно позначають сайти HTTP як «Небезпечні», що негайно відганяє відвідувачів.
Довіра користувача: Значок замка в адресному рядку — це визнаний сигнал довіри, який безпосередньо впливає на коефіцієнти конверсії.
Цілісність даних: HTTPS запобігає введенню третіми сторонами реклами, шкідливого ПО або скриптів відстеження на ваші сторінки.

Крок 1: Розуміння того, як працює HTTPS

HTTPS — це розширення HTTP, яке обертає весь зв’язок у шар шифрування SSL/TLS (Secure Sockets Layer / Transport Layer Security). Коли відвідувач підключається до вашого сайту, його браузер та ваш сервер виконують «TLS handshake» для встановлення зашифрованої сесії. Цей процес залежить від цифрового SSL сертифіката, виданого надійним центром сертифікації (CA).

SSL сертифікат служить двом цілям:

Він дозволяє шифрування даних під час передачі.
Він перевіряє ідентичність вашого сервера, підтверджуючи відвідувачам, що вони спілкуються з законним веб-сайтом.

Крок 2: Отримання SSL сертифіката

Ви не можете включити HTTPS без дійсного SSL сертифіката. Існує кілька типів та джерел для розгляду залежно від ваших потреб та бюджету.

Безплатні SSL сертифікати

Let’s Encrypt — найбільш широко використовуваний безплатний центр сертифікації у світі. Він видає сертифікати Domain Validation (DV), які довіряються всіма основними браузерами та можуть автоматично поновлюватися кожні 90 днів. Більшість панелей керування хостингом підтримують Let’s Encrypt нативно.

ZeroSSL — це ще один безплатний CA, який пропонує простий веб-інтерфейс для видачі сертифікатів DV, що робить його надійною альтернативою Let’s Encrypt.

Платні SSL сертифікати

Для бізнесу, який вимагає вищих рівнів перевірки — таких як сертифікати Organization Validation (OV) або Extended Validation (EV) — платний SSL сертифікат є відповідним вибором. Сертифікати EV відображають назву вашої організації в рядку браузера та зазвичай використовуються сайтами електронної комерції, фінансовими установами та підприємствами, які обробляють конфіденційні дані.

AlexHost пропонує діапазон SSL сертифікатів придатних для особистих веб-сайтів, бізнес-сайтів та високотрафікних платформ електронної комерції. Придбання SSL сертифіката через вашого хостинг-провайдера значно спрощує управління установкою та поновленням.

Крок 3: Установка SSL сертифіката

Процес установки залежить від вашого хостинг-середовища. Нижче наведені детальні інструкції для найпоширеніших установок.

3.1 Установка через cPanel

Якщо ваш хостинг-акаунт використовує cPanel, установка SSL є простою:

Увійдіть в cPanel — Отримайте доступ до вашої панелі керування хостингом на yourdomain.com/cpanel або через вашу панель керування хостингом.
Перейдіть до SSL/TLS — Знайдіть розділ SSL/TLS у категорії Безпека.
Установіть сертифікат — Натисніть «Manage SSL Sites», виберіть вашу область та вставте файли сертифіката, приватного ключа та CA bundle.
Збережіть та перевірте — Після збереження відкрийте браузер і перейдіть на https://yourdomain.com щоб підтвердити, що з’являється значок замка.

Якщо ви шукаєте хостинг-середовище з попередньо налаштованим cPanel, AlexHost надає VPS з cPanel плани, які спрощують управління SSL поряд з повним контролем сервера.

3.2 Установка на Apache (ручна конфігурація сервера)

Якщо ви керуєте сервером Linux безпосередньо, виконайте ці кроки для установки SSL сертифіката на Apache:

Крок 1 — Скопіюйте файли сертифіката на ваш сервер:

sudo mkdir -p /etc/ssl/yourdomain
sudo cp your_certificate.crt /etc/ssl/yourdomain/
sudo cp your_private.key /etc/ssl/yourdomain/
sudo cp your_ca_bundle.crt /etc/ssl/yourdomain/

Крок 2 — Відредагуйте конфігурацію віртуального хоста Apache:

Відкрийте відповідний файл конфігурації, зазвичай розташований на /etc/apache2/sites-available/yourdomain.conf (Debian/Ubuntu) або /etc/httpd/conf.d/yourdomain.conf (CentOS/RHEL):

sudo nano /etc/apache2/sites-available/yourdomain.conf

Крок 3 — Додайте блок віртуального хоста HTTPS:

<VirtualHost *:443>
    ServerName yourdomain.com
    ServerAlias www.yourdomain.com
    DocumentRoot /var/www/yourdomain

    SSLEngine on
    SSLCertificateFile      /etc/ssl/yourdomain/your_certificate.crt
    SSLCertificateKeyFile   /etc/ssl/yourdomain/your_private.key
    SSLCertificateChainFile /etc/ssl/yourdomain/your_ca_bundle.crt

    # Recommended security headers
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
    Header always set X-Content-Type-Options "nosniff"
    Header always set X-Frame-Options "SAMEORIGIN"
</VirtualHost>

Крок 4 — Включіть модуль SSL та сайт, потім перезавантажте Apache:

sudo a2enmod ssl
sudo a2ensite yourdomain.conf
sudo systemctl restart apache2

Для систем CentOS/RHEL, які використовують httpd:

sudo systemctl restart httpd

3.3 Установка на Nginx (ручна конфігурація сервера)

Для серверів на основі Nginx процес дещо інший:

Крок 1 — Відредагуйте конфігурацію блоку сервера Nginx:

sudo nano /etc/nginx/sites-available/yourdomain.conf

Крок 2 — Додайте блок сервера HTTPS:

server {
    listen 443 ssl http2;
    server_name yourdomain.com www.yourdomain.com;
    root /var/www/yourdomain;
    index index.html index.php;

    ssl_certificate     /etc/ssl/yourdomain/your_certificate.crt;
    ssl_certificate_key /etc/ssl/yourdomain/your_private.key;

    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;

    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
}

Крок 3 — Протестуйте конфігурацію та перезавантажте Nginx:

sudo nginx -t
sudo systemctl restart nginx

Крок 4: Перенаправлення трафіку HTTP на HTTPS

Установка сертифіката недостатня. Ви повинні налаштувати постійні перенаправлення 301, щоб усі запити HTTP автоматично перенаправлялися на HTTPS. Це гарантує, що жоден відвідувач не потрапить на небезпечну версію вашого сайту та консолідує вашу SEO цінність посилань.

4.1 Перенаправлення HTTP на HTTPS за допомогою .htaccess (Apache)

Відкрийте файл .htaccess у кореневій папці вашого веб-сайту та додайте наступні правила на початку:

RewriteEngine On

# Redirect all HTTP traffic to HTTPS
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

# Optional: force www to non-www (or vice versa)
RewriteCond %{HTTP_HOST} ^www.(.*)$ [NC]
RewriteRule ^ https://%1%{REQUEST_URI} [L,R=301]

Збережіть файл та протестуйте, відвідавши http://yourdomain.com — він повинен автоматично перенаправитися на https://yourdomain.com.

4.2 Перенаправлення HTTP на HTTPS за допомогою Nginx

Додайте виділений блок сервера для порту 80, який видає перенаправлення:

server {
    listen 80;
    server_name yourdomain.com www.yourdomain.com;
    return 301 https://$host$request_uri;
}

Перезавантажте Nginx для застосування:

sudo systemctl restart nginx

Крок 5: Оновлення всіх внутрішніх посилань та ресурсів

Після включення HTTPS ваш веб-сайт все ще може завантажувати змішаний вміст — ресурси HTTP (зображення, скрипти, таблиці стилів, шрифти), вбудовані на сторінки HTTPS. Змішаний вміст викликає попередження про безпеку браузера та може повністю порушити ваш індикатор замка.

Що оновити

Внутрішні посилання на сторінки: Змініть усі посилання http://yourdomain.com на https://yourdomain.com.
Зображення, CSS та JavaScript: Переконайтеся, що всі URL-адреси ресурсів використовують HTTPS або відносні до протоколу шляхи (//).
Канонічні теги: Оновіть теги <link rel="canonical"> у вашому HTML.
Карта сайту: Повторно створіть вашу XML карту сайту з URL-адресами HTTPS.
URL-адреси бази даних (WordPress): Використовуйте плагін WP Migrate DB або запустіть прямий SQL запит для оновлення збережених URL-адрес:

UPDATE wp_options SET option_value = REPLACE(option_value, 'http://yourdomain.com', 'https://yourdomain.com') WHERE option_name = 'siteurl' OR option_name = 'home';

UPDATE wp_posts SET post_content = REPLACE(post_content, 'http://yourdomain.com', 'https://yourdomain.com');

UPDATE wp_postmeta SET meta_value = REPLACE(meta_value, 'http://yourdomain.com', 'https://yourdomain.com');

> Важливо: Завжди створюйте резервну копію вашої бази даних перед запуском масових оновлень SQL.

Крок 6: Оновлення Google Search Console та Analytics

Ваш сайт HTTPS технічно є іншою властивістю, ніж ваш сайт HTTP, з точки зору Google. Виконайте ці кроки, щоб переконатися, що ваші дані SEO та параметри сканування правильно налаштовані:

Google Search Console: Додайте https://yourdomain.com як нову властивість. Подайте вашу оновлену карту сайту HTTPS.
Google Analytics: Оновіть URL-адресу за замовчуванням у параметрах властивості, щоб використовувати HTTPS. Переконайтеся, що ваш код відстеження встановлено на всіх сторінках HTTPS.
Bing Webmaster Tools: Додайте версію HTTPS вашого сайту та повторно подайте вашу карту сайту.
Оновлення зовнішніх зворотних посилань: Де це можливо, зв’яжіться з сайтами високої авторитетності, які посилаються на ваші URL-адреси HTTP, та попросіть їх оновити свої посилання.

Крок 7: Тестування та перевірка вашої конфігурації HTTPS

Ніколи не припускайте, що ваша установка HTTPS правильна без ретельного тестування. Використовуйте наступні методи:

Перевірка браузера

Перейдіть на https://yourdomain.com та перевірте:

У адресному рядку з’являється значок замка.
Не відображається попередження «Небезпечно».
Консоль розробника браузера (F12 → Console) не показує попередження про змішаний вміст.

SSL Labs SSL Test

Відвідайте SSL Labs Server Test та введіть вашу область. Цей безплатний інструмент надає детальну оцінку (A+ до F) для вашої конфігурації SSL/TLS, виділяючи слабкі набори шифрів, проблеми з протоколом та проблеми з ланцюгом сертифікатів.

Інструмент Why-No-Padlock

Використовуйте Why No Padlock для визначення конкретних проблем змішаного вмісту на будь-якій сторінці вашого сайту.

HTTP Observatory (Mozilla)

HTTP Observatory Mozilla оцінює ваші заголовки безпеки, політику HSTS та загальну якість реалізації HTTPS.

Крок 8: Включення HTTP Strict Transport Security (HSTS)

Коли ви впевнені, що ваша установка HTTPS стабільна, включіть HSTS. Ця політика безпеки інструктує браузери завжди використовувати HTTPS для вашої області, навіть якщо користувач вручну введе http://. Це запобігає атакам SSL stripping та усуває початкове перенаправлення HTTP для повертаючихся відвідувачів.

Додайте цей заголовок до конфігурації вашого сервера:

Apache:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

Nginx:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

Після підтвердження того, що все працює правильно протягом кількох тижнів, розгляньте можливість подання вашої області до HSTS Preload List для максимального захисту.

Вибір правильного хостингу для HTTPS

Ваше хостинг-середовище відіграє критичну роль у тому, наскільки легко ви можете реалізувати та підтримувати HTTPS. Ось короткий огляд рішень AlexHost, придатних для різних потреб:

Спільний веб-хостинг: Ідеально для малих веб-сайтів та блогів. SSL Let’s Encrypt зазвичай доступний одним кліком через cPanel.
VPS хостинг: Рекомендується для растущих бізнесів, які потребують повного контролю над конфігурацією SSL, програмним забезпеченням сервера та заголовками безпеки. VPS плани AlexHost надають вам root доступ для налаштування Apache або Nginx точно так, як описано в цьому посібнику.
Виділені сервери: Найкращий вибір для високотрафікних веб-сайтів, платформ електронної комерції та корпоративних додатків, які вимагають виділених ресурсів та розширеного налаштування SSL/TLS.

Для команд, які керують кількома веб-сайтами або додатками, AlexHost також пропонує гнучкі

Рубрики

Збережіть 15% на всі хостинг-послуги