Проблему с HTTPS замечают не сразу. Вы открываете сайт — и всё нормально, потому что браузер уже запомнил старую версию или потому что вы заходите по закладке с правильным адресом. А клиент, который пришёл из рекламы, видит красное окно «Подключение не защищено» и уходит. Или того хуже — заходит, но оплата не проходит, потому что платёжная система отказывается работать с незащищённым соединением.
HTTPS — это не галочка в настройках хостинга, а связка из нескольких вещей. Разберём проверку по тому, кто именно замечает проблему: браузер, поисковик, платёжная система и вы сами.
Что видит браузер
Начните с самого простого — откройте сайт и посмотрите на адресную строку. Если там замок и https:// — базово всё хорошо. Если написано «Не защищено» или «Опасно» — сертификат не работает или работает неправильно.
Но замок ещё не гарантия. Бывает, что сама страница открывается по HTTPS, а часть её содержимого — картинки, скрипты, шрифты — подгружается по http://. Это называется смешанным контентом. Браузер может показать замок, но при этом заблокировать часть элементов, и страница будет выглядеть сломанной.
Как проверить: откройте консоль браузера (F12) и посмотрите на предупреждения. Там будут строки вида «Mixed Content: The page was loaded over HTTPS, but requested an insecure image». Это и есть виновники. Ищите их в коде темы, в настройках плагинов и в старом контенте — например, в статье, куда когда-то вставили картинку по http.
Хороший способ поймать всё сразу — пройтись по страницам и посмотреть, что подгружается. На небольших сайтах это можно сделать вручную, на больших — через краулер или инструменты проверки mixed content.
Что видит поисковик
Для поисковика HTTPS — это сигнал доверия и одновременно источник дублей. Если сайт открывается и по http, и по https, для него это два разных адреса с одинаковым содержимым. Вес размывается, а в индексе может оказаться не та версия.
Как проверить: наберите адрес с http:// и посмотрите, что произойдёт. Правильное поведение — редирект на https:// с кодом 301. Если страница просто открывается по http и остаётся там — редирект не настроен.
Проверьте и вариант с www: http://www, https://www, http://без-www, https://без-www. Все четыре должны вести в одну точку — на канонический адрес. Если какой-то вариант открывается сам по себе, это дубль.
Отдельно загляните в Search Console: там есть отчёт по HTTPS, который показывает, какие страницы не защищены. И посмотрите, какой адрес указан каноническим — он должен быть с https.
Что видит платёжная система
Если на сайте есть оплата, HTTPS становится не рекомендацией, а требованием. Платёжные шлюзы, банки и сервисы эквайринга отказываются принимать данные по незащищённому соединению — а некоторые просто не подключаются к сайту без сертификата.
Как проверить: пройдите путь оплаты целиком — от корзины до страницы подтверждения. Убедитесь, что на каждом шаге адрес остаётся https и не появляется предупреждение браузера. Особенно внимательно на страницах, где вводятся данные карты и личная информация.
И проверьте, что платёжные виджеты и формы не подгружаются по http. Это частая причина, по которой оплата работает на тесте, а на живом сайте выдаёт ошибку.
Что видит владелец сайта
Здесь речь о вещах, которые не видны в браузере, но определяют, будет ли HTTPS работать завтра.
Срок действия сертификата. Сертификаты бывают на год, на три месяца, а некоторые — на 90 дней с автопродлением. Если автопродление не настроено, сайт однажды встретит посетителей предупреждением. Проверьте дату окончания и то, что продление действительно работает.
Цепочка сертификата. Иногда браузер доверяет сертификату, а мобильное приложение или старый клиент — нет, потому что не хватает промежуточного звена. Проверить это можно через сервисы проверки SSL, которые показывают всю цепочку и указывают на пропуски.
Покрытие доменов. Если сертификат выпущен на example.ru, а сайт открывается ещё и на www.example.ru или на поддомене, убедитесь, что сертификат покрывает и их. Иначе на одном из вариантов будет предупреждение.
Автоматическое обновление. Если сертификат получен через Let’s Encrypt, у него короткий срок и обновление должно быть настроено в панели хостинга. Проверьте, что задача действительно выполняется — иногда она стоит, но падает с ошибкой, и никто об этом не знает.
Проверка по шагам
- Открыть сайт и убедиться, что в адресе https и замок без предупреждений.
- Посмотреть в консоль браузера — нет ли ошибок mixed content.
- Проверить, что http и www-варианты перенаправляются на канонический адрес с кодом 301.
- Пройти путь оплаты и убедиться, что на всех шагах соединение защищено.
- Проверить срок действия сертификата и работу автопродления.
- Убедиться, что сертификат покрывает все домены, на которых открывается сайт.
- Посмотреть отчёт по HTTPS в Search Console.
Это занимает минут пятнадцать. Если что-то не сходится — лучше исправить сейчас, а не после того, как клиент пожалуется на предупреждение.
Красные флаги
- Сайт открывается по http и не перенаправляет на https.
- Браузер показывает «Не защищено» или «Опасно».
- В консоли есть ошибки mixed content.
- Оплата не проходит или платёжный виджет не загружается.
- Сертификат истекает через несколько дней, а автопродление не настроено.
- На одном из вариантов адреса (www или без) возникает предупреждение.
- В Search Console есть страницы без HTTPS.
Что в итоге
HTTPS — это не одна настройка, а связка: сертификат, редиректы, отсутствие смешанного контента и покрытие всех доменов. Проверять её нужно с четырёх сторон — глазами браузера, поисковика, платёжной системы и владельца. Если все четыре довольны, соединение действительно защищено, а не просто выглядит таковым.
Мы обычно проверяем HTTPS вместе с остальной технической базой: смотрим редиректы, ищем смешанный контент и убеждаемся, что сертификат не подведёт в ближайший месяц. Иногда достаточно поправить пару ссылок, а иногда — перенастроить выпуск сертификата. Напишите или оставьте заявку — проверим ваш сайт и скажем, что стоит исправить, чтобы посетители не видели предупреждений, а оплата проходила без сюрпризов.