Что такое SSL / TLS?
SSL (Secure Sockets Layer) и TLS (Transport Layer Security) — протоколы шифрования соединения между браузером и сервером сайта. Сегодня работает только TLS, но привычный термин «SSL-сертификат» никуда не исчез.
SSL расшифровывается как Secure Sockets Layer, TLS — как Transport Layer Security: это один и тот же механизм защиты канала, просто второе поколение протокола. Бизнесу это важно, потому что без действующего сертификата браузеры показывают «Не защищено», поисковики и ИИ-ассистенты хуже относятся к сайту, а данные клиентов передаются в открытом виде. На практике «поставить SSL» сегодня означает выпустить TLS-сертификат, настроить HTTPS и автоматизировать продление — иначе через несколько месяцев сайт снова окажется небезопасным.
Как работает TLS простыми словами
Открывая сайт по HTTPS, браузер и сервер проводят «рукопожатие» (TLS handshake): согласуют версию протокола и набор шифров, сервер предъявляет сертификат, стороны договариваются о сессионных ключах. Дальше весь трафик — пароли, формы заявок, платёжные данные — идёт в зашифрованном виде, и посредник в сети не может его прочитать или подменить.
Сертификат — это цифровой документ, связывающий домен с открытым ключом и подписанный удостоверяющим центром (CA). Браузер доверяет ему, если цепочка подписей ведёт к корневому центру из хранилища, домен совпадает, а срок действия не истёк. Нарушено хотя бы одно условие — пользователь увидит предупреждение «Подключение не защищено» и, скорее всего, уйдёт.
Сертификаты различаются по уровню проверки — DV (домен), OV (организация), EV (расширенная) — и по охвату: обычный на один домен, wildcard на все поддомены, SAN на несколько имён. Браузеры давно не показывают «зелёную строку», поэтому выбирают обычно не по престижу, а по удобству автоматизации.
Зачем SSL/TLS нужен бизнесу
- Доверие и поведение пользователей. Пометка «Не защищено» снижает конверсию: люди закрывают страницу ещё до знакомства с предложением.
- Поиск и ИИ-ответы. HTTPS — базовый сигнал для Яндекса и Google; краулеры и ИИ-поиск охотнее забирают и цитируют страницы, отдаваемые по защищённому протоколу.
- Технические требования. Платёжные шлюзы, формы с персональными данными, push-уведомления и часть браузерных API корректно работают только поверх TLS.
- Репутация и риски. Подмена трафика грозит утечкой данных клиентов и претензиями по требованиям о защите персональных данных.
Что изменилось к 2026 году
Главная новость — резкое сокращение срока жизни публичных сертификатов по решению CA/Browser Forum (SC-081v3): с 15 марта 2026 года максимум 200 дней, с 15 марта 2027 года — 100 дней, с 15 марта 2029 года — 47 дней. Ограничения касаются и периода повторного использования данных проверки домена.
Следствие простое: продлевать сертификат руками «раз в год» больше нельзя. Нужны автоматизация выпуска по протоколу ACME (Let's Encrypt, ZeroSSL, корпоративные центры), мониторинг сроков и алерты за 30–60 дней до истечения, инвентаризация всех доменов и поддоменов. Заодно стоит убрать из конфигурации TLS 1.0 и 1.1 — они отключены в современных браузерах, — оставив минимум TLS 1.2 и приоритет TLS 1.3.
Типичные ошибки
- Просроченный сертификат. Самая частая причина «внезапного» падения трафика: сайт открывается, но с предупреждением.
- Смешанный контент. Страница по HTTPS, а картинки или скрипты подгружаются по HTTP — браузер блокирует их. Помогает правка шаблонов и директива CSP с upgrade-insecure-requests.
- HTTPS только на части страниц. Редирект настроен лишь для главной, а внутренние открываются по http.
- Расхождение имён. Сертификат на www., а сайт доступен без www (или наоборот), либо не охвачены поддомены.
- Нет HSTS. Без заголовка HSTS браузер при первой попытке может уйти на http и стать жертвой перехвата.
- Скорость без контроля. Рукопожатие и цепочка сертификатов влияют на загрузку — за этим стоит следить через RUM, а не только по синтетическим тестам.
Коротко о главном
SSL как протокол устарел, но как термин жив: под «SSL-сертификатом» сегодня понимают сертификат TLS. Бизнесу важно одно — чтобы защищённое соединение работало на всём сайте и обновлялось автоматически, ведь с 2026 по 2029 год сроки жизни сертификатов сократятся с 200 до 47 дней. Тогда HTTPS перестанет быть проектом и станет рутиной.
