Как работает SSL-сертификат

Коротко

SSL-сертификат — это электронный паспорт сайта. В нем записано, какому адресу он выдан, кем и до какого числа. Сертификат нужен для двух вещей: браузер убеждается, что сайт настоящий, а не подделка, и включает шифрование. Сайт с сертификатом открывается по HTTPS, в адресной строке у него замок. Без сертификата браузер пишет «Не защищено».

Выдают сертификаты удостоверяющие центры — организации, которым доверяют браузеры. Центр проверяет, что домен принадлежит заявителю, и ставит на сертификат свою подпись. Сертификат выдается на ограниченный срок: с марта 2026 года — не дольше 200 дней, дальше срок будут сокращать. Поэтому продление настраивают автоматическим.

Сертификат можно отозвать раньше срока. В 2026 году с этим столкнулись российские компании: зарубежные центры начали отзывать уже выданные сертификаты из-за санкционных проверок. По данным Технического центра Интернет, с 5 июня по 15 сентября девять иностранных центров отозвали 7136 сертификатов у 620 организаций; «Руцентр» оценивает общий счет примерно в 11 тысяч сертификатов. В ноябре регистратор сообщил о новой волне.

Для посетителя отзыв выглядит как страница «Подключение не защищено» вместо сайта. Владельцу стоит заранее знать, кто выдал его сертификат и когда он истекает, и держать готовую замену. Сертификат нужно проверить не только на главном адресе, но и на поддоменах, в личном кабинете и в мобильном приложении.

Вопросы и ответы

Что такое SSL-сертификат простыми словами?

Это электронный документ, который подтверждает, что сайт настоящий, и позволяет шифровать все, что вы ему отправляете. Его выдает удостоверяющий центр после проверки владельца адреса. Сайт с сертификатом открывается по https и показывает замок в адресной строке.

Чем HTTP отличается от HTTPS?

По HTTP данные идут открытым текстом: их может прочитать провайдер, владелец Wi-Fi или любой, кто окажется на пути. HTTPS — тот же протокол внутри зашифрованного соединения. Чтобы сайт работал по HTTPS, ему и нужен сертификат. Браузеры помечают сайты без него как небезопасные, а поисковики учитывают это при ранжировании.

Что значит «сертификат отозван»?

Удостоверяющий центр досрочно объявил сертификат недействительным и внес его в список отозванных. Причины бывают разные: украден ключ, у домена сменился владелец, нашлась ошибка при выдаче или центр больше не вправе работать с этим клиентом. Браузер, увидев такой сертификат, не открывает сайт и показывает предупреждение.

Почему отзывают сертификаты у российских сайтов?

В 2026 году зарубежные удостоверяющие центры стали строже проверять клиентов на соответствие санкционным ограничениям и пересматривать уже выданные сертификаты. Больше всего отзывов пришлось на GlobalSign. По оценке «Руцентра», отозвано около 11 тысяч сертификатов у 1,3 тысячи организаций, и в ноябре 2026 года ожидалась новая волна. Под отзыв попадали и компании, которых нет в санкционных списках.

Что делать, если сертификат сайта отозвали?

Получить новый сертификат у другого центра и установить его на все адреса: основной сайт, поддомены, личный кабинет, адреса для мобильного приложения. Варианты — другой зарубежный центр, бесплатный автоматический центр или российский центр. У российского есть ограничение: зарубежные браузеры ему не доверяют, пока посетитель сам не установит корневой сертификат. Лучше подготовить замену до отзыва, а не после.

Сколько стоит SSL-сертификат и бывает ли он бесплатным?

Бывает. Бесплатные сертификаты с проверкой домена выдают автоматические центры, самый известный — Let’s Encrypt; многие хостинги подключают их одной кнопкой. Шифруют они так же, как платные. Платные сертификаты стоят от нескольких тысяч рублей в год и отличаются проверкой компании, гарантией и поддержкой. Этот сайт работает на бесплатном сертификате с автопродлением.

На какой срок выдают сертификат?

С 15 марта 2026 года — не дольше 200 дней. С 15 марта 2027 года срок сократят до 100 дней, с 15 марта 2029 года — до 47. Бесплатные сертификаты и раньше выдавались на 90 дней. Короткий срок снижает ущерб от украденного ключа, но требует автоматического продления: вручную менять сертификат каждые полтора месяца никто не будет.

Если на сайте замок, ему можно доверять?

Только в одном: соединение зашифровано, и вы попали именно на тот адрес, что написан в строке. Сертификат с проверкой домена может получить кто угодно, в том числе мошенник для сайта-подделки с похожим адресом. Поэтому смотрите на сам адрес, а не только на замок.