Ръководство за SSL за малкия бизнес сайт

Когато клиент отвори сайта ви и види „Връзката не е сигурна“, проблемът не е само технически. Част от хората ще затворят страницата, други няма да изпратят форма за запитване, а при онлайн магазинът рискът е директно изгубена поръчка. Това ръководство за SSL обяснява какво стои зад катинарчето в браузъра, какво реално решава сертификатът и как да избегнете често срещаните проблеми при преминаване към HTTPS.

Какво е SSL и защо сайтът ви има нужда от него

SSL сертификатът удостоверява, че посетителят комуникира с правилния сайт, и криптира данните между браузъра и сървъра. На практика днес ще срещнете и термина TLS, който е по-новата технология, но в ежедневната работа всички използват „SSL“. Резултатът за посетителя е адрес, започващ с `https://`, и икона на катинар в браузъра.

Това има значение дори ако сайтът ви не приема плащания. Контактната форма, заявката за час, входът в WordPress, имейл адресът и телефонът на клиента са данни, които не бива да преминават незащитени. При адвокатска кантора, счетоводна къща или медицински кабинет доверието е още по-чувствителна тема.

SSL не е защита срещу всички заплахи. Той няма да премахне вирус от сайта, няма да спре слабата парола и не замества обновяването на WordPress, темата и плъгините. Сертификатът защитава връзката по пътя между посетителя и сайта. Сигурността на самия сайт изисква отделни, постоянни мерки.

Кога SSL е задължителен на практика

За всеки активен бизнес сайт HTTPS трябва да се приема като базово изискване, а не като допълнение. Това важи за представителни сайтове, WooCommerce магазини, сайтове с форма за контакт, системи за резервации и клиентски профили.

Без HTTPS браузърът може да покаже предупреждение, особено при въвеждане на данни. Това създава съмнение точно в момента, в който посетителят трябва да се свърже с вас или да направи поръчка. Търсачките също предпочитат защитени страници, макар че самият SSL сертификат няма да компенсира слаб текст, бавен сайт или липсваща техническа поддръжка.

Има и вътрешна причина. Администраторът на сайта влиза в WordPress с потребителско име и парола. Ако тази връзка не е защитена, рискът за достъпа до сайта е излишно висок. При малък екип един компрометиран администраторски профил може да доведе до прекъсване на работа, спам страници или нежелани пренасочвания.

Какъв SSL сертификат да изберете

Не всеки сертификат е еднакъв като обхват и проверка, но за много малки фирмени сайтове не е необходимо да се плаща за най-скъпия вариант. Правилният избор зависи от броя домейни, поддомейни и от начина, по който клиентите използват сайта.

Най-разпространен е сертификатът за един домейн. Той е подходящ, когато имате един основен адрес, например `firma.bg`, и вариантът с `www` е насочен правилно към него. При няколко отделни адреса може да е по-подходящ многодомейнов сертификат. Ако работите с множество поддомейни като `shop.firma.bg`, `mail.firma.bg` или `booking.firma.bg`, wildcard сертификатът може да спести време при управление.

Другата разлика е степента на проверка. При базовите сертификати се потвърждава контролът над домейна. Те са напълно достатъчни за повечето WordPress сайтове, блогове и малки онлайн магазини. При по-високо ниво се проверява и организацията, което може да е уместно за компании, при които идентичността на бизнеса е ключова част от доверието.

Безплатният сертификат не означава непременно по-слаба криптография. По-честият компромис е в организацията: кратък срок на валидност, нужда от автоматично подновяване и по-малко допълнителна поддръжка. Ако хостингът поддържа автоматично издаване и подновяване, това често е разумен вариант. Ако сертификатът се управлява ръчно и никой не следи срока, платеният вариант също няма да ви спаси от изтичане.

Преминаване към HTTPS без загуба на трафик

Инсталирането на сертификата е само първата стъпка. Сайтът трябва да бъде конфигуриран така, че всички страници да отварят през HTTPS, а старите HTTP адреси да пренасочват към правилните защитени версии.

1. Направете архив преди промяна

Преди настройки по WordPress, хостинг панела или конфигурационните файлове се прави пълен архив на файловете и базата данни. Това е особено важно за онлайн магазини и сайтове с често променящо се съдържание. Ако нещо се обърка, възстановяването трябва да е конкретна процедура, а не търсене на стари файлове в последния момент.

2. Проверете дали сертификатът е издаден за правилния адрес

Сертификатът трябва да покрива домейна, който посетителите реално използват. Честа ситуация е сертификатът да е валиден за `firma.bg`, но не и за `www.firma.bg`, или обратното. И двата варианта трябва да се обработят коректно – единият да бъде основен, а другият да пренасочва към него.

3. Настройте постоянни пренасочвания

След активирането на HTTPS всяко посещение на стар HTTP адрес трябва автоматично да стига до съответната защитена страница. Това пази връзките от стари имейли, реклами, отметки и резултати в търсачките. Пренасочването трябва да е постоянно, а не временно, за да не се объркват браузъри и търсачки.

Важно е да има само една канонична версия на адреса. Не е добра идея едновременно да работят `http://firma.bg`, `https://firma.bg`, `http://www.firma.bg` и `https://www.firma.bg`. Това може да създаде дублирано съдържание, неясна статистика и непоследователно поведение при вход или поръчка.

4. Обновете вътрешните адреси в WordPress

Адресът на сайта в настройките на WordPress трябва да е с HTTPS. След това се проверяват менюта, бутони, изображения, формуляри, скриптове и външни услуги. При по-стар сайт в базата данни често са останали много абсолютни HTTP адреси, които трябва внимателно да се заменят.

Тук не е добра идея да се правят масови промени без резервно копие. Неправилна замяна в базата може да счупи сериализирани данни в настройки на тема или плъгин. При сайт с магазин, интеграции за плащане или складова система промените трябва да се тестват и през реалните процеси, не само на началната страница.

Защо катинарчето липсва след инсталиран SSL

Най-честият проблем се нарича смесено съдържание. Основната страница се отваря през HTTPS, но част от ресурсите в нея – например лого, шрифт, JavaScript файл, карта или снимка – се зареждат по стария HTTP адрес. Браузърът може да блокира част от тези ресурси или да не покаже очаквания знак за защитена връзка.

Причината невинаги е в WordPress. Понякога външен код в тема, рекламна система, форма за бюлетин или скрипт за статистика използва остарял адрес. Затова проверката трябва да обхваща не само началната страница, а и контактната форма, страницата за вход, продуктите, количката, плащането и всички важни страници за запитвания.

Друг често срещан случай е цикличното пренасочване. Страницата ту отива към HTTP, ту обратно към HTTPS и накрая браузърът показва грешка. Това обикновено е конфликт между настройка в хостинга, правило в конфигурационен файл, CDN услуга или плъгин. Решението не е да се добавят още правила на случаен принцип, а да се установи кое правило пренаписва адреса.

Подновяване: малкият пропуск с голям ефект

Изтеклият сертификат може да направи сайта практически недостъпен за част от посетителите. Браузърите показват ясно предупреждение, което повечето хора няма да пренебрегнат. За бизнес сайт това изглежда почти като авария, независимо че страниците и хостингът физически работят.

Проверете кой отговаря за домейна, хостинга и сертификата. Често те са при различни доставчици, а напомнянията отиват към стар имейл адрес на бивш служител или външен изпълнител. Най-сигурният подход е автоматично подновяване, валиден административен имейл и периодична проверка дали автоматиката действително работи.

След подновяване не приемайте, че всичко е наред само защото сертификатът е платен или заявен. Отворете сайта в браузър, проверете датата на валидност и тествайте ключовите действия. При WooCommerce това означава поне добавяне в количка, преминаване към поръчка и проверка на връзката към платежния метод.

Кога проблемът е за техническа поддръжка

Ако виждате предупреждение за сертификат, не можете да влезете в админ панела след преминаване към HTTPS, сайтът влиза в пренасочващ цикъл или формите спират да изпращат, не отлагайте проверката. Особено при сайт, който носи запитвания и продажби, пробите с множество плъгини и случайни настройки могат да удължат прекъсването.

В такива случаи практичният процес е ясен: първо се проверяват сертификатът, DNS записите и настройките на хостинга, след това пренасочванията и WordPress конфигурацията. Накрая се тестват реалните страници и функции, които използват клиентите. IT Doctor може да поеме тази работа дистанционно, когато достъпите и ситуацията го позволяват, и да остави сайта с предвидима настройка, а не с временна поправка.

SSL е малка видима част от сайта, но зад нея стои доверие при всяко посещение. Ако не сте сигурни кога е подновен сертификатът ви или дали всички версии на домейна водят към HTTPS, отделете няколко минути за проверка сега – това е много по-лесно от реакция, когато клиент вече вижда предупреждение.