Смена HTTP на HTTPS: сертификат, страница и Вебмастер

20.10.2026 · 7 мин чтения

Сайт уже открывается по http, и мне нужно, чтобы тот же адрес жил на https. Это не новый проект и не смена домена. Документ остаётся прежним, меняется протокол, по которому браузер его забирает. Сначала я ставлю сертификат и смотрю, что страница собрана целиком по новой схеме. Потом говорю Вебмастеру, какой адрес считать главным. Позиций и трафика от этого шага я не жду.

HTTP и HTTPS — это способ, которым браузер забирает страницу с сервера. На старом протоколе обмен идёт открытым текстом: по дороге его можно прочитать и подменить. На новом тот же обмен шифруется, а браузер проверяет, что ответил сервер сайта, а не чужой узел посередине. Заголовок, текст и путь страницы при этом могут не измениться совсем.

Поэтому я не завожу второй сайт и не пишу страницы заново. Если человек открывал услугу, карточку или статью, после смены протокола он открывает ту же услугу, карточку или статью. Другое только начало адреса. Браузер помечает страницу на http как не защищённую, особенно когда на ней есть поля для ввода. На https эта пометка уходит, если страница собрана без старых кусков и сертификат в порядке.

Замок рядом с пустой карточкой — это сертификат. Текст страницы от него не меняется.

Пока сертификата нет, адрес на https браузер не отдаст спокойно. Он покажет предупреждение, даже если сервер жив и страница лежит на месте. Сертификат связывает имя в адресной строке с машиной, которая ответила. Его выпускает центр, которому браузер уже доверяет. Если центр браузеру неизвестен или срок вышел, предупреждение будет таким же, как при пустом месте вместо сертификата.

Глубина проверки разная, а содержимое страницы от неё не зависит. Проверка домена подтверждает только то, что я управляю этим именем. Её хватает блогу, сайту услуг и магазину. Проверка организации добавляет юридическое лицо. Расширенную я беру, только когда посетителю мало увидеть домен и нужно имя компании.

Сертификат на домен чаще всего ставят из панели хостинга. Бесплатный выпуск даёт Let’s Encrypt: панель сама его запрашивает и потом продлевает, если настройку не выключить. Файл сертификата и закрытый ключ я загружаю руками только тогда, когда их выдали отдельно. На текст страниц способ выпуска не влияет.

Имя в сертификате должно совпадать с именем, которое набирает человек. Вариант с www и вариант без www — разные имена. Если оба открываются, сертификат покрывает оба. Иначе предупреждение появится на одном из них раньше, чем человек попадёт на главный адрес. Отдельно смотрю срок. Просроченный сертификат закрывает вход, хотя файлы страниц никуда не делись.

Для поиска адрес на http и адрес на https с одним и тем же путём — два входа в один документ, пока главный не выбран. Если оба входа спокойно отдают страницу, в индексе могут оказаться копии. Главным я оставляю https и не держу старую схему как отдельный сайт.

Старый http-адрес должен отвечать переходом на тот же путь на https.

Внутри сайта я убираю старые адреса. Ссылка в меню, в тексте или в подвале на http сначала уводит человека на старую схему. Канонический адрес и карта сайта на http сами показывают поиску старый вариант. В настройках движка я тоже меняю основной адрес на https. Иначе движок продолжает печатать старые ссылки сам, даже когда часть страниц я уже поправил руками.

Чужие ссылки со старой схемой я не собираю и не прошу переписать. Имя сайта то же, путь тот же. Отдельно чинить чужие упоминания ради смены протокола не нужно.

Страница может открываться по https, а картинка, стиль, шрифт или скрипт на ней всё ещё запрашиваться по http. Это смешанное содержимое. Оболочка защищена, а кусок документа едет открытым каналом. Для человека страница вроде на месте, но соединение уже нельзя назвать закрытым целиком.

К таким кускам браузер относится по-разному. Скрипт, стиль, шрифт и вставку с другого адреса он обычно блокирует: страница приезжает дырявой, кнопка или форма молчит. Картинку он может показать, но пометка защищённого соединения пропадает. Иногда браузер сам пробует забрать тот же файл по https. Если источник так не отвечает, блок пропадает или остаётся дырой. В магазине это видно сразу, когда скрипт корзины или оплаты остался на старом протоколе: витрина открыта, а действие не работает.

Большая карточка уже собрана, а два блока рядом с ней так и не присоединились.

Ищу это в самом браузере. Открываю страницу и смотрю консоль: там видно, какой файл заблокирован или приехал по небезопасному адресу. Потом прохожу код страницы и выписываю адреса картинок, скриптов, стилей и шрифтов, которые начинаются со старой схемы. Отдельно проверяю виджеты, старые баннеры и счётчики. Их ставят один раз и забывают, а внутри остаётся http.

Чиню заменой на https, если источник уже умеет защищённое соединение. Если не умеет, забираю файл к себе на сайт или убираю блок. Картинку на http не оставляю только потому, что она видна: из-за неё страница перестаёт быть защищённой целиком. На старых шаблонах ещё встречается адрес без схемы, он начинается с двух косых. Такой адрес я меняю на явный https, чтобы шаблон не выбирал протокол сам.

Сертификата на сервере поиску недостаточно. Пока в Вебмастере главным числится http, у робота есть основание считать старую схему основной. Сообщить об этом нужно отдельно, уже после того как страница на https открывается целиком и без старых кусков.

Заявку отправляю из карточки старого адреса, не из нового. Новый я только добавляю и подтверждаю. Если сказать о переезде не оттуда, Вебмастер не поймёт, какое зеркало с каким склеивать. Файл robots.txt на адресе с https должен открываться и не закрывать сайт от обхода, иначе сверка зеркал встанет.

В Google смотрю, что именно уже подтверждено. Если подтверждён весь домен, отдельный адрес с https может уже входить в него. Если подтверждён только адрес на http, добавляю адрес на https и подтверждаю права. Инструмент смены домена не открываю: имя сайта осталось прежним, сменилась схема. Адреса в выдаче сменяются по мере обхода, и когда именно это случится, заранее не видно.

После заявки сверяю, что в Вебмастере главным адресом указан https.

Переход для меня закончен не в момент выпуска сертификата. Я открываю главную, одну внутреннюю страницу и страницу с формой. Сертификат действителен, предупреждения нет, замок в браузере не пропадает из-за одного файла. Если форма после отправки уходит на старую схему, для меня переход ещё не готов.

Строгую привязку браузера к https, её ещё называют HSTS, включаю только после этого списка. Она говорит браузеру в следующий раз сразу открывать защищённую схему, даже если человек набрал старую. Раньше времени включать не стоит. Посетитель может застрять на предупреждении или на дырявой странице, и обычный откат настройки ему уже не поможет: браузер помнит прежнее указание.

Смену протокола я не смешиваю с переделкой путей. Сначала те же страницы начинают открываться по https. Новые пути, если они нужны, делаю отдельным шагом. Иначе соответствие документов ломается, и Вебмастер может склеить не пару одного документа, а разные страницы.

Смысл работы для меня простой. Данные по дороге к сайту нельзя прочитать или подменить, браузер не показывает предупреждение, у одного документа один главный адрес.

SEO

Посмотрю сертификат, смешанное содержимое и что указать в Вебмастере, чтобы главным адресом стал https.