Към основното съдържание
BG
Ръководство за миграция

Как да преместите сайта си на HTTPS

Самото преместване отнема половин ден. Трафик губят сайтовете заради реда, в който се правят стъпките — пренасочване, включено преди смесеното съдържание да е премахнато, или сертификат, който никой не подновява. Ето последователността, която избягва и двете.

Започнете със стъпка 1 Изберете сертификат

Защо преместването вече не е по избор

HTTPS спря да бъде предимство и стана базово изискване. Ето четирите неща, които се променят, когато сайтът се отдава по него.

  • Никой не чете трафика

    Потребителските имена, данните от формите, бисквитките и самите страници са криптирани между посетителя и вашия сървър, така че обща Wi-Fi мрежа или възел по маршрута не може да ги прочете или подмени.

  • Никой не го и преписва

    Обикновеният HTTP може да бъде променен по пътя — обичайният резултат са вмъкнати реклами и подменени връзки за изтегляне. Сертификатът прави тази намеса откриваема.

  • Търсачките го очакват

    Google третира HTTPS като сигнал за класиране от 2014 г. Сам по себе си е малък, но вече стои редом с показателите за изживяване на страницата, за които HTTPS е предпоставка.

  • Съвременният уеб го изисква

    HTTP/2, HTTP/3, service workers, геолокацията, API-тата за камера и микрофон и повечето платежни интеграции отказват да работят върху несигурен източник.

Миграцията стъпка по стъпка

Минете през тях по ред. Стъпки от 1 до 4 могат да се направят върху тестово копие; стъпка 6 е тази, която прави промяната публична.

  1. Опишете всяко име, което обслужвате

    Избройте всяко име на хост, на което сайтът отговаря — голия домейн, www и всеки поддомейн като shop, blog или api. Сертификатът трябва да покрива всички тях, а име, открито след миграцията, означава преиздаване. Отбележете и външните скриптове, шрифтове и изображения, които вграждате; точно за тях е стъпка 4.

  2. Изберете сертификат, който ги покрива

    За едно име е нужен сертификат за един домейн, за набор от поддомейни — wildcard, а за несвързани домейни — мултидомейн. Нивото на валидация е отделно решение: DV доказва контрол върху домейна и се издава за минути, а OV и EV проверяват и компанията зад него.

    Вижте сертификатите и цените

  3. Генерирайте CSR, инсталирайте сертификата, проверете веригата

    Създайте ключа и заявката за подписване на сертификат (CSR) на сървъра, който ще ги държи, и оставете частния ключ там. След инсталиране проверете веригата, вместо да се доверявате на браузъра, който случайно използвате: липсващ междинен сертификат е невидим в настолния Chrome и фатален на по-стар Android.

    Генератор на CSR Проверка на SSL Поправка на веригата

  4. Премахнете смесеното съдържание

    Страница, отдадена по HTTPS, която тегли ресурс по HTTP, е смесено съдържание — и браузърите не само предупреждават: скриптовете, стиловете и рамките се блокират направо, а изображенията, звукът и видеото се заявяват мълчаливо наново по HTTPS и изобщо не се зареждат, ако сървърът не ги отдава там. Поправете препратките в шаблоните, в базата данни и в CSS. Ако нещо все още не се зарежда, прочетете неуспялата заявка в раздела «Мрежа»: посоченият там сървър ще ви каже дали сте пропуснали адрес с http://, дали този сървър изобщо няма HTTPS, или защитата срещу хотлинк все още се нуждае от https:// формата на домейна ви в списъка си с разрешени.

  5. Обновете вътрешните връзки и canonical таговете

    Вътрешните връзки, canonical таговете, hreflang таговете, Open Graph адресите и структурираните данни трябва да сочат към версията с https://. Разчитането на пренасочването за вътрешните връзки работи, но харчи по едно допълнително обръщане при всяко кликване и оставя стария адрес като този, който публикувате.

  6. Пренасочете HTTP към HTTPS с 301, после добавете HSTS

    Постоянното пренасочване 301 от всеки HTTP адрес към неговия HTTPS близнак прехвърля натрупаните сигнали за класиране и прави новия адрес каноничния. След като сайтът е работил по HTTPS без проблеми известно време, добавете заглавката Strict-Transport-Security, за да спрат браузърите изобщо да опитват HTTP — започнете с кратък max-age, защото заглавката трудно се отменя.

  7. Кажете на търсачките

    Добавете HTTPS сайта като отделно свойство в Google Search Console и Bing Webmaster Tools, подайте sitemap, чиито адреси са всички с https://, и се уверете, че robots.txt не блокира новите страници. Не махайте HTTP свойството: там наблюдавате как старите адреси отпадат. Ако поддържате списък disavow, качете го и в свойството HTTPS — Search Console пази по един списък за свойство с URL префикс и не пренася нищо (за свойства от тип домейн инструментът не важи).

  8. Наблюдавайте първите седмици, после поддържайте сертификата подновен

    Очаквайте индексирането да се премести постепенно, а не за една нощ; кратък спад, докато и двете версии са известни, е нормален. После запишете датата на изтичане в календар. Изтекъл сертификат означава предупреждение на цял екран в браузъра и е най-честият начин сайт, преминал успешно към HTTPS, да падне година по-късно.

Преди да го смятате за готово

Шест проверки, които улавят това, което стъпките по-горе обикновено пропускат.

  • Веригата на сертификата е пълна и сертификатът съответства на частния ключ на всеки сървър зад балансьора на натоварването.
  • Всяко име на хост се отваря по HTTPS, включително формите с www и без www.
  • Никоя страница не зарежда ресурс по http:// — проверете страниците със статии и поръчката, не само началната.
  • Всеки HTTP адрес отговаря с 301, а не с 302, и води до съответната HTTPS страница, а не до началната.
  • Sitemap, robots.txt, canonical таговете и структурираните данни носят адреси с https://.
  • Датата на изтичане е в календара на човек, който още работи във фирмата, или подновяването е автоматизирано.

Въпроси, които възникват по време на преместването

Браузърът казва, че връзката не е напълно защитена. Защо?

Почти винаги е смесено съдържание: самата страница се отдава по HTTPS, но нещо в нея — изображение, шрифт, скрипт за проследяване — се заявява по HTTP. Не съдете по иконата до адреса: във версия 117 Chrome замени катинара с икона за настройки при всички сайтове, а браузърите, запазили катинар, го рисуват всеки по своему. Конзолата за разработчици назовава ресурса, който е блокиран или не е могъл да премине към HTTPS, а нашата проверка на SSL показва сертификатната страна на въпроса.

Ще ни струва ли преместването търсещ трафик?

Кратък спад, докато и двете версии са известни, е нормален и се възстановява. Траен спад е признак, че нещо в стъпка 5, 6 или 7 е недовършено — обикновено пренасочвания 302 вместо 301, canonical тагове, които още сочат към http://, или sitemap, който така и не е подаден отново.

Защо да плащаме за сертификат, щом има безплатни?

Криптирането е еднакво. Плащате за нивото на валидация — безплатният сертификат доказва контрол върху домейна и нищо за компанията — плюс гаранция, знак за сайта, поддръжка, когато инсталацията не успее, и сертификати, които траят по-дълго от 90 дни.

Как да избегнем изтекъл сертификат?

Автоматизирайте подновяването, ако платформата ви поддържа ACME, и оставете напомняне в календара като резерва. И ние ви уведомяваме преди изтичане, но уведомлението работи само ако стига до някой, който още чете тази пощенска кутия.

Готови ли сте за преместването?

Изберете сертификата, който отговаря на имената, изброени в стъпка 1, или ни попитайте и ние ще ги съпоставим вместо вас.

Вижте сертификатите и цените Задайте ни въпрос

Фирмите от ЕС извън Нидерландия с валиден ДДС номер не плащат ДДС (обратно начисляване), а без него плащат ДДС на своята държава; фирмите в Нидерландия плащат ДДС 21%; купувачите в Обединеното кралство плащат британски ДДС; купувачите извън ЕС и Обединеното кралство не плащат ДДС. Обобщението на поръчката показва точния ДДС, преди да направите поръчката.