Не работает SSL: что с сертификатом — МирДоступа

Получил ssl сертификат, почему доступ по не работает?

На что еще обратить внимание

При покупке сертификата обязательно стоит обратить внимание используются ли поддомены на сайте. Если они есть, обычный SSL установится только на основной домен, а поддомены останутся незащищенными. Чтобы под каждый поддомен не получать индивидуальный сертификат, существует специальный SSL – Wildcard.

Недействительный сертификат

У сертификата безопасности есть определенный срок действия. Он постоянно уменьшался: до 5 лет в 2021-м, до 3 лет в 2021-м, до 2 лет в 2021-м. Сейчас сертификаты действительны только 398 дней (13 месяцев) — с 2020 года Safari, Chrome и Mozilla прекратили поддержку сертификатов с большим сроком действия.

Информация о дате истечения действия сертификата доступна в браузере:

Что же происходит, если SSL-/TLS-сертификат устаревает? Сайт становится недоступен — пользователи увидят сообщение о небезопасности в браузере. Результат — существенные потери трафика и, соответственно, прибыли.

Создать резервную копию файлов и баз данных

Во-первых, вы сможете восстановить данные, если что-то пойдёт не так.

Во-вторых, у вас появится шанс безопасно попрактиковаться на копии сайта, прежде чем рубить с плеча и делать всё «на горячую» на работающем сайте. Совет особенно полезен владельцам сложных и нестандартных проектов, а также всем, кто сомневается, что всё пройдёт гладко, и знает, как сильно перерывы в работе сайта бьют по карману и репутации.

Для создания резервной копии используйте отдельное хранилище, а не дисковое пространство сервера с данными сайта. Если с сервером что-то случится, копии файлов останутся целыми и невредимыми.

Чтобы подключить диск для бэкапов и настроить его с помощью ISPManager, вам потребуется 15-20 минут, не больше.     

Несоответствие имени сертификата

Ошибка неверного имени сертификата вызвана тем, что доменное имя, указанное в SSL-/TLS-сертификате, не соответствует введенному в адресной строке. Пользователи в таком случае не смогут зайти на сайт.

Причины несоответствия имени SSL-/TLS-сертификата:

Установить SSL сертификат

После прохождения проверки со стороны центра сертификации вы получите файлы вашего SSL сертификата. Вам следует установить их на сервер и сконфигурировать его. Вы можете сделать это либо самостоятельно, воспользовавшись нашими

, либо отправить файлы SSL сертификата вашему провайдеру хостинга – очень часто техническая поддержка хостинга производит установку SSL сертификатов вместо клиентов.

1. Проверить правильность установки SSL

Далее Вам следует проверить, правильно ли установлен ваш SSL сертификат. В этом может помочь, например, сервис от SSL Labs (

Установить  SSL-сертификат

Установка сертификата — несложный процесс, но имеет свои нюансы в зависимости от того, какой сертификат вы устанавливаете — платный от известного центра или бесплатный Let’s Encrypt. Если вы обслуживаетесь у нас и используете панель ISPmanager, то можете воспользоваться готовой инструкцией по установке сертификата  для любого сайта или для окружения Битрикс. Если возникли сложности,  напишите в техническую поддержку, и мы поможем вам  с установкой.

Устаревший алгоритм шифрования

Когда пользователь заходит на сайт, происходит процесс «рукопожатия»: клиент (браузер) и сервер идентифицируют друг друга, браузер при этом проверяет подлинность SSL-/TLS-сертификата. Набор алгоритмов шифрования очень важен для этого процесса: браузер сообщает, какие комбинации шифров он поддерживает, и сервер выбирает лучшую из подходящих.

Набор алгоритмов шифрования состоит из нескольких шифров, отвечающих за разные функции. Перед разработкой TLS 1.3 самой надежной была такая комбинация:

• Алгоритм для обмена ключами между сервером и браузером (ECDHE)
• Цифровая подпись, удостоверяющая сертификат (ECDSA)
• Шифр для обмена данными (AES-256-GCM)
• Алгоритм для аутентификации сообщений (SHA384)

Комбинация в TLS 1.3 содержит только два последних шифра и по умолчанию не поддерживает устаревшие алгоритмы для обмена ключами и аутентификации сертификата.

Версия TLS 1.2 до сих пор считается достаточно надежной, но у нее есть уязвимости из-за большей вариативности алгоритмов шифрования и их качества. С TLS 1.3 выбор шифров ограничен самыми безопасными и весь процесс «рукопожатия» происходит проще и быстрее.

Если вы не знаете, какие шифры поддерживаются вашим сертификатом, стоит проверить их актуальность. Можно запустить онлайн-тест:

Если вы обнаружите устаревшие алгоритмы, нужно отключить их в настройках сервера. Кроме того, можно проанализировать рейтинг шифров и указать приоритетный порядок, чтобы браузеры выбирали самый надежный из поддерживаемых в вашем сертификате.

Alphassl и domainssl

Обычно эти виды сертификатов активируются автоматически. Если вы заказали такой сертификат, но он не активировался автоматически, вам поможет инструкция Как активировать сертификаты: AlphaSSL и DomainSSL.

WordPress – 301 редирект на защищенный протокол

На ВордПресс переадресация абсолютно аналогична пункту выше: есть специализированные плагины для редиректов со страницы на страницу. Но чтобы поставить перенаправление для всего сайта, надо использовать htaccess (если сайт работает на веб-сервере apache). Стандартный htaccess в WP, если изменения не вносились, выглядит следующим образом:

  # BEGIN WordPress
  RewriteEngine On
  RewriteBase /
  RewriteRule ^index.php$ - [L]
  RewriteCond %{REQUEST_FILENAME} !-f
  RewriteCond %{REQUEST_FILENAME} !-d
  RewriteRule . /index.php [L]
  # END WordPress
  

Брандмауэр или антивирус, блокирующие сайт

Некоторые сайты блокируются брандмауэром Windows. Для проверки можно отключить брандмауэр и попробовать зайти на нужный сайт. Если SSL-сертификат начал работать корректно, значит дело в брандмауэре. В браузере Internet Explorer вы можете внести некорректно работающий сайт в список надежных и проблема исчезнет.

Виды сертификатов

SSL-сертификаты классифицируют по подлинности и делятся на 3 типа:

Включенный экспериментальный протокол quic

QUIC — это новый экспериментальный протокол, который нужен для быстрого подключения к интернету. Основная задача протокола QUIC состоит в поддержке нескольких соединений. Вы можете отключить этот протокол в конфигурации вашего браузера.

Показываем как отключить QUIC на примере браузера Google Chrome:

• Откройте браузер и введите команду chrome://flags/#enable-quic;
• В появившемся окне будет выделен параметр: Experimental QUIC protocol (Экспериментальный протокол QUIC). Под названием этого параметра вы увидите выпадающее меню, в котором нужно выбрать опцию: Disable.

• После этого просто перезапустите браузер.

Этот способ работает и в Windows и в Mac OS.

Внешние ссылки на старом протоколе, надо ли их менять, передают ли они вес?

Если рассматривать идеальный вариант, то да – следует поменять (в первую очередь, если ссылки есть на крупных, трастовых ресурсах). Следует отметить, что поисковые системы их также переклеивают со временем сами.

Выбор и покупка ssl-сертификата

Дополнительные настройки

Дополнительно вебмастеру следует проверить rel=«alternate» и rel=«canonical» (адреса каноничных страниц), перепроверить url внутренних ссылок (включая статичные объекты).

Зачем переезжать на защищенный протокол?

Чтобы ответить на этот вопрос, сначала необходимо дать определение этому протоколу.

Использование ssl-сертификата версии 3.0

Некоторые сайты используют устаревший SSL-протокол версии 3.0, который не поддерживают браузеры. По крайней мере, по умолчанию. Чтобы браузер поддерживал устаревший SSL необходимо сделать следующее (на примере браузера Google Chrome):

• Откройте браузер и перейдите в раздел «Настройки».
• Прокрутите страницу настроек вниз и нажмите «Дополнительные».
• В разделе «Система» найдите параметр «Настройки прокси-сервера» и кликните на него.

• Откроется окно. Перейдите на вкладку «Дополнительно».
• В этой вкладке вы увидите чекбокс «SSL 3.0».

• Поставьте галочку в чекбоксе, нажмите кнопку «Ок» и перезагрузите браузер.

Как исправлять типичные ошибки ssl/tls

Если у вас уже есть SSL-/TLS-сертификат, он требует регулярного обновления и мониторинга. Чтобы избежать ошибок, проверяйте свой сайт на наличие проблем с SSL/TLS. Вы можете быстро обнаружить возможные ошибки с помощью «Аудита сайта» SE Ranking — для этого перейдите в раздел «Отчет об ошибках» и секцию «Безопасность сайта»:

Давайте рассмотрим 4 частые ошибки SSL-/TLS-сертификатов и объясним, как их исправить.

Как установить ssl сертификат на сайт wordpress

Как настроить редирект с помощью плагина really simple ssl

Чтобы настроить редирект с помощью плагина:

Готово, вы активировали плагин Really Simple SSL. Если вы хотите скорректировать действие плагина, перейдите в Настройки.

Настройка постраничного редиректа 301

Редирект 301 — это специализированный код состояния сайта, указывающий на то, что ресурс перенесли на новый URL (на постоянной основе). Соответственно, «репутация» сайта при этом также переносится на новый адрес (что важно для SEO-оптимизации). Правки вносятся через файл .htaccess. А вот сам код для интеграции рекомендуется запрашивать непосредственно у хостинг-провайдера. Это самый надежный вариант.

Обеспечьте сайту бескомпромиссную защиту

Продвигать сайт без заботы о его безопасности не получится. Чтобы защитить свой сайт от кибератак и уязвимости данных, нужен надежный SSL-/TLS-сертификат с самыми актуальными настройками. Мы рекомендуем использовать последнюю версию TLS, поставить напоминания о дате истечения срока действия, подключить самые надежные алгоритмы шифрования и регулярно проверять состояние протокола.

Отсутствие обновлений операционной системы

Проблемы с SSL-сертификатами могут возникать и из-за того, что на вашей операционной системе давно не устанавливались обновлений. Особенно это касается устаревших версий Windows (7, Vista, XP и более ранние). Установите последние обновления и проверьте работу SSL.

Ошибки «invalid csr» при генерации сертификата из панели управления облачного провайдера

В процессе активации сертификата можно столкнуться с ошибкой «Invalid CSR». Такая ошибка возникает по следующим причинам:

Переадресация для различных cms

Перенаправления ничем не отличается для любых других CMS, в зависимости от веб-сервера ставятся либо в файле htaccess, либо в конфиге NGINX.

Перенаправление для сайтов на modx

В этой CMS есть плагин для 301 редиректов – RedirectMap. Он позволяет перенаправить отдельно взятый URL, но никак не все страницы сайта, поэтому единственно правильным решением будет использовать описанные выше способы для веб-серверов Apache или NGINX.

Покупка сертификата

Для шифрования трафика необходимо приобрести и установить на сайт SSL-сертификат. Лучший вариант — обратиться к регистратору домена. В 99% случаев такие компании занимаются и продажей SSL-сертификатов. Средняя цена всего от 5 USD за год.

Можно получить SSL-сертификат и бесплатно, но это более рисковый вариант. Во-первых, срок действия таких сертификатов всегда ограничен (и редко превышает 2–3 месяца), во-вторых, никто не застрахован от интеграции через него вредоносного кода на сайт.

Также за покупкой сертификата можно обратиться непосредственно к хостинг-провайдеру, на котором размещен сайт. Опять же, после заявления Google и Yandex многие из них активно стали внедрять функцию продажи SSL. Преимущество данного варианта заключается в том, что установка сертификата на сайт после этого выполняется «в 1 клик» через панель администратора.

Предварительно проверьте

Убедитесь, что вы не перепутали ошибку подключения SSL с другими проблемами. Если в браузере перестал открываться ваш сайт, сначала проверьте:

Причины возникновения ошибок ssl-соединения

Когда сертификат работает корректно, адресная строка браузера выглядит примерно так:

Но при наличии ошибок она выглядит несколько иначе:

Существует множество причин возникновения таких ошибок. К числу основных можно отнести:

• Некорректную дату и время на устройстве (компьютер, смартфон, планшет и т.д.);
• Ненадежный SSL-сертификат;
• Брандмауэр или антивирус, блокирующие сайт;
• Включенный экспериментальный интернет-протокол QUIC;
• Отсутствие обновлений операционной системы;
• Использование SSL-сертификата устаревшей версии 3.0;
• Появление ошибки «Invalid CSR» при генерации сертификата из панели управления облачного провайдера.

Давайте рассмотрим каждую из них подробнее.

Проблемы с датой и временем

Если на устройстве установлены некорректные дата и время, ошибка SSL-соединения неизбежна, ведь при проверке сертификата происходит проверка срока его действия. Современные браузеры умеют определять такую ошибку самостоятельно и выводят сообщение о неправильно установленной дате или времени.

Для исправления этой ошибки достаточно установить на устройстве актуальное время. После этого необходимо перезагрузить страницу или браузер.

Резервная копия файлов и базы данных

Это действие необходимо делать всегда, когда планируются серьезные изменения на сайте, нельзя пропускать данную процедуру. Вовремя сделанный бэкап позволит вернуть сайт в изначальное состояние, если что-то пойдет не так в процессе работы.

Ручная установка

Ручная установка делается на хостинге.

Список часто задаваемых вопросов

Ссылки на внешние скрипты и картинки

Там же, в шаблонах сайта, все УРЛы на подключаемые JS-скрипты, картинки, библиотеки, шрифты и другие дополнения сразу стоит поменять на относительные. В основном они находятся в шапке и футере.

Упала посещаемость, сколько потребуется времени для ее восстановления?

Все написанное выше про падение позиций запросов актуально и для посещаемости, она может снизиться на величину до 30% на срок от 1 до 6 месяцев, в зависимости от количества страниц сайта.

Ускорение учета изменений

Робот узнает о смене протокола при очередном посещении сайта. Чтобы ускорить процесс учета изменений, необходимо добавить старую и новую версию сайта в поисковые системы и сообщить о необходимости переезда.

Совершить переезд следует во всех файловых системах, которые содержат все важные страницы сайта для поискового робота. Это следующие механизмы:

Установка ssl в панели управления timeweb

Заходим в раздел SSL-сертификаты.

Установка приобретенного ssl-сертификата на сайт

Процесс установки незначительно может отличаться в зависимости от интерфейса панели администратора используемого хостинга. Примерный алгоритм следующий:

В течение 2–3 минут внесенные изменения будут задействованы. Рекомендуется после этого выполнить проверку сайта с помощью бесплатных сервисов, типа «decoder. Link» — он покажет, имеется ли у сайта SSL и исправно ли сам ресурс работает. В разделе «Port» обязательно указывать 443 (по умолчанию может стоять «80»).

Дополнительно рекомендуется проверить, нормально ли загружается и работает сайт через разные браузеры (включая мобильные), открывается ли при включенном VPN, с разным DNS.

Установка редиректов

Редирект – это автоматическая переадресация пользователя на домен, который отличается от запрошенного им изначально. Получается, что попадая на страницу, пользователь в автоматическом режиме переходит на другую.

Главная задача редиректора – это не терять страницу, если необходимо заменить одно название на другое. Делается это для старых пользователей, которые по привычки ищут информацию по старым запросам.

Шаг 1. закажите услугу

Сначала нужно приобрести SSL-сертификат. Сделать это можно несколькими способами:

1. При заказе REG.Site.
2. При заказе домена.
3. Отдельно от всех услуг.

Также на REG.Site можно установить SSL, который был приобретён у сторонней компании. В этом случае вы можете сразу приступить к установке сертификата.

Шаг 2. активируйте сертификат

Если вы заказали SSL вместе с доменом или услугой REG.Site, сертификат активируется автоматически. Этот шаг нужно сделать, если вы приобрели SSL отдельно.

Organizationssl и extendedssl

Если вы купили сертификат одного из этих видов, подождите от 3 до 7 дней. Когда Центр сертификации проверит сведения о вашей организации, сертификат будет активирован. Центр может дополнительно запросить документы об организации. Подробнее в статье Как активировать сертификаты: OrganizationSSL и ExtendedSSL.