Пошаговое руководство по безопасному переходу с HTTP на HTTPS. Установка SSL-сертификата, настройка редиректов, склейка зеркал в Яндекс.Вебмастере, проверка смешанного контента и сохранение трафика.
Введение
Яндекс пометил HTTP-сайты как небезопасные ещё несколько лет назад. Google сделал это ещё раньше. Сегодня сайт без зелёного замочка в адресной строке выглядит как магазин без вывески — вроде работает, но доверия ноль. Пользователи видят предупреждение «Соединение не защищено» и уходят к конкурентам. Поисковые системы понижают HTTP-страницы в выдаче. Но решение перейти на HTTPS часто откладывают из страха: «А вдруг трафик упадёт? А вдруг ссылочный вес потеряется? А вдруг что-то сломается?» Страх небеспочвенный. Неправильный переезд на HTTPS действительно способен просадить позиции и трафик. Но правильный — проходит незаметно для пользователей и поисковиков, а в долгосрочной перспективе только улучшает позиции. В этой статье — полная дорожная карта переезда с HTTP на HTTPS без потерь: от выбора и установки сертификата до финальной проверки через месяц после переезда.
Какой SSL-сертификат выбрать
Первым делом нужно определиться с типом сертификата. Для SEO разницы между бесплатным и платным сертификатом нет. Поисковые системы одинаково доверяют и бесплатному сертификату от Lets Encrypt, и дорогому EV-сертификату с зелёной строкой. Разница — только в доверии пользователей и уровне валидации. Для 99 процентов сайтов достаточно бесплатного сертификата от Lets Encrypt. Он выдаётся автоматически, обновляется каждые три месяца и поддерживается практически всеми российскими хостингами. На shared-хостинге установка Lets Encrypt — это обычно одна кнопка в панели управления. На VPS — несколько команд в консоли. Если вам важно показать пользователям, что компания проверена (юридический адрес подтверждён, организация существует), берите OV-сертификат. EV с зелёной строкой для российского рынка смысла почти не имеет — браузеры постепенно отказываются от отображения расширенной информации. Мультидоменные сертификаты (SAN) нужны, если у вас несколько поддоменов. Wildcard — если поддоменов много и они динамически создаются. Для типового сайта на одном домене достаточно бесплатного Lets Encrypt.
Подготовка к переезду: аудит перед стартом
До того как нажать кнопку «Установить сертификат», соберите baseline — исходные данные, с которыми будете сравнивать результат. Зафиксируйте: количество страниц в индексе Яндекса (через Вебмастер), позиции по ключевым запросам, суточный поисковый трафик по Яндекс.Метрике, количество внешних ссылок на сайт. Сделайте скриншоты графиков или выгрузите отчёты. Эта информация понадобится через месяц после переезда, чтобы понять, всё ли прошло гладко. Затем проведите аудит внутренних ссылок. Все абсолютные ссылки на вашем сайте, которые ведут на другие страницы этого же сайта, должны быть либо относительными, либо уже с HTTPS. Если в коде страниц прописаны абсолютные пути с HTTP, после переезда вы получите смешанный контент или лишние редиректы. Проверьте шаблоны CMS, контент страниц, файлы CSS (часто в них зашиты фоновые изображения с абсолютными путями), скрипты. Всё, что ссылается на ваш же сайт с HTTP, нужно заменить на HTTPS. Если CMS позволяет — используйте относительные ссылки, они переживут любой переезд.
Установка сертификата и настройка редиректов
Сертификат установлен. Теперь нужно сделать так, чтобы все посетители и боты автоматически попадали на HTTPS-версию. Настройка редиректа с HTTP на HTTPS делается на уровне сервера. На Apache через .htaccess: включаем RewriteEngine, проверяем, что запрос не на HTTPS, и перенаправляем на тот же URL с HTTPS с кодом 301. На nginx: в конфиге сервера для порта 80 (HTTP) прописываем редирект на порт 443 (HTTPS). Важно использовать именно 301 редирект, а не 302. Именно 301 передаёт ссылочный вес и сигнализирует поисковикам о постоянном переезде. Проверьте, что редирект работает корректно: откройте несколько страниц по HTTP и убедитесь, что они мгновенно переадресовываются на HTTPS без цепочек. Цепочка — это когда HTTP-версия редиректит на HTTPS-версию с www, а та ещё куда-то. Идеальный редирект — в одно действие. После настройки редиректов проверьте заголовки ответа сервера для HTTP-версии: должен приходить код 301 и заголовок Location с HTTPS-адресом.
Смешанный контент: главная ловушка HTTPS
Смешанный контент — это когда страница загружается по HTTPS, но внутри неё есть ресурсы (картинки, скрипты, стили, шрифты), подгружаемые по HTTP. Браузеры блокируют такие ресурсы или показывают предупреждение о небезопасном соединении. Для пользователя это выглядит как сломанная вёрстка или перечёркнутый замочек в адресной строке. Для SEO это плохо: поисковики видят, что страница «не совсем безопасна», и могут занизить её в выдаче. Как найти смешанный контент? Откройте сайт в Яндекс.Браузере, нажмите F12, перейдите на вкладку «Консоль». Если есть смешанный контент, вы увидите жёлтые или красные предупреждения с текстом Mixed Content. Там же будет указано, какой именно ресурс грузится по HTTP. Чаще всего это старая логотип-картинка с абсолютным путём, зашитая в футере, или скрипт внешнего сервиса, который ещё не перешёл на HTTPS. Для своих ресурсов исправьте пути на HTTPS или относительные. Для внешних — свяжитесь с владельцем сервиса или найдите альтернативу. Если внешний ресурс недоступен по HTTPS, подгружайте его через свой сервер, а не напрямую.
Настройка в Яндекс.Вебмастере
Переезд на HTTPS — это по сути смена главного зеркала сайта. Яндекс нужно явно сообщить, что теперь основная версия — HTTPS. Зайдите в Вебмастер, добавьте HTTPS-версию сайта как отдельный сайт (если она ещё не добавлена). Подтвердите права на неё любым удобным способом: через мета-тег, файл в корне или DNS-запись. После подтверждения зайдите в настройки индексирования старого HTTP-сайта и найдите раздел «Главное зеркало». Укажите там HTTPS-версию как основную. Это даст Яндексу прямой сигнал: «Вот новый адрес, переноси туда весь вес и позиции». Затем отправьте новый sitemap для HTTPS-версии. Старый sitemap для HTTP пока не удаляйте — он поможет роботу быстрее найти несоответствия. Через пару недель, когда HTTPS-версия проиндексируется, старый sitemap можно будет удалить. В разделе «Переобход» запросите переобход главной страницы HTTPS-версии. Этого достаточно, чтобы запустить процесс.
Первые дни после переезда: мониторинг
После переезда наступает волнительный период. Не ждите, что всё произойдёт мгновенно. В первые дни в индексе будут одновременно присутствовать и HTTP, и HTTPS страницы. Это нормально. Постепенно, по мере переобхода, HTTP-версии будут заменяться на HTTPS. Ключевые метрики для ежедневного мониторинга: поисковый трафик — не должен резко падать; количество страниц в индексе HTTPS-версии — должно расти; количество страниц в индексе HTTP-версии — должно снижаться; наличие ошибок обхода в Вебмастере. Если через 3-4 дня после переезда HTTPS-версия вообще не появилась в индексе — проверьте, не закрыта ли она в robots.txt и нет ли на страницах мета-тега noindex. Если трафик резко упал — проверьте, работают ли редиректы, не появились ли цепочки, не заблокирован ли HTTPS-сайт файрволом. В течение первой недели проверьте, что все важные страницы HTTPS-версии открываются без ошибок и без смешанного контента. Пройдитесь краулером по сайту — он соберёт все страницы и покажет коды ответа.
Через месяц: финальная проверка
Через месяц после переезда пора подводить итоги. Сравните текущие показатели с baseline, который вы зафиксировали до старта. Количество страниц в индексе HTTPS-версии должно быть близко к тому, что было у HTTP-версии. Допустимое отклонение — плюс-минус 5 процентов. Позиции по ключевым запросам могут немного просесть в первый месяц, но к концу второго месяца должны восстановиться. Трафик должен быть на уровне до переезда или выше — HTTPS является небольшим плюсом в ранжировании, так что возможен даже небольшой рост. Если трафик просел больше чем на 15 процентов и не восстанавливается — проводите глубокий аудит. Проверьте внешние ссылки: все ли доноры теперь ведут на живые страницы? Если ссылки вели на HTTP-версию, они должны редиректиться на HTTPS. Потеря ссылочного веса из-за неработающих редиректов — частая причина просадок. Проверьте, что старый HTTP-сайт больше не отдаёт контент — все запросы должны уходить в 301. Если где-то сохранился дубль с HTTP и 200 кодом, это расщепляет трафик и мешает восстановлению.
Часто задаваемые вопросы
Сколько времени занимает полный переезд на HTTPS? Техническая настройка — несколько часов. Полный переезд в глазах поисковиков — от двух недель до двух месяцев, в зависимости от размера сайта и частоты его обхода. Для небольшого сайта из 100 страниц основная масса URL переедет за 2-3 недели. Для крупного портала с сотнями тысяч страниц процесс может занять до двух месяцев.
Нужно ли менять внешние ссылки с HTTP на HTTPS? В идеале — да, но это не всегда возможно. Ссылки с чужих сайтов вы контролировать не можете. Именно для этого настраивается 301 редирект: он передаёт вес с HTTP на HTTPS автоматически. Потеря веса при 301 составляет около 10-15 процентов, поэтому если есть возможность попросить владельца ссылающегося сайта обновить ссылку — сделайте это. Но в целом редирект решает проблему.
Что делать с внутренними ссылками в старых статьях? Если статьи хранятся в базе данных CMS, используйте относительные ссылки — они не требуют правок при смене протокола. Если абсолютные ссылки с HTTP зашиты в теле статей, их нужно заменить на HTTPS. Для WordPress есть плагины, которые делают это автоматически через поиск и замену в базе данных. На других CMS — ищите аналогичные инструменты или правьте вручную.
Влияет ли переезд на HTTPS на скорость сайта? HTTPS добавляет небольшой оверхед на установку защищённого соединения. При использовании современного протокола TLS 1.3 эта задержка минимальна — около 100 миллисекунд при первом подключении. Если сайт настроен правильно и использует HTTP/2, скорость может даже вырасти за счёт мультиплексирования запросов. Главное — не используйте устаревшие версии протоколов.
Можно ли переехать на HTTPS без редиректов, просто включив сертификат? Технически да — сайт будет доступен и по HTTP, и по HTTPS. Для SEO это катастрофа: у вас появятся полноценные дубли всех страниц. Часть трафика пойдёт на HTTP-версию, часть на HTTPS, ссылочный вес расщепится. Поэтому редирект с HTTP на HTTPS обязателен.
