Восени 2026 року мільйони сайтів отримають червону позначку в браузері — і їхні власники дізнаються про це від переляканих клієнтів, а не заздалегідь. Причина буде одна: відсутній або неправильно налаштований SSL-сертифікат.
Google уже підтвердив, що з версії Chrome 154, яка стане типовою для всіх користувачів у жовтні 2026 року, браузер за замовчуванням проситиме підтвердження перед відкриттям будь-якого публічного сайту без HTTPS. Раніше, з Chrome 147 у квітні 2026-го, це вже вмикали для понад мільярда користувачів із розширеним Безпечним переглядом. Тобто попередження «сайт незахищений» скоро побачить не технічний спеціаліст у налаштуваннях, а звичайний відвідувач — за секунду до того, як передумає щось у вас купувати.
Розберемо без жаргону: що це за сертифікат, що він насправді робить, скільки коштує (часто — нуль) і як зрозуміти, що з вашим щось не так.
Коли відвідувач заповнює на сайті форму — ім’я, телефон, номер картки, — ці дані летять від його комп’ютера до вашого сервера через десятки проміжних вузлів. Без шифрування будь-хто на цьому шляху — від адміністратора публічного Wi-Fi у кафе до провайдера — може прочитати їх у відкритому вигляді.
SSL-сертифікат (точніше вже TLS, але назва прижилася) робить дві речі. Він шифрує цей потік, перетворюючи дані на нечитабельний набір символів для всіх, крім сервера-адресата. І він підтверджує, що сайт, який відкрив відвідувач, — це справді ваш сайт, а не фішингова копія, що вкрала ваш дизайн і логотип.
Технічно сертифікат — це невеликий файл, який видає довірений центр сертифікації (Certificate Authority) і встановлюється на сервер. Браузер під час з’єднання перевіряє цей файл: хто його видав, кому, чи не сплив термін, чи не відкликаний. Якщо все гаразд — з’являється замочок і адреса на https://. Якщо ні — попередження.
Ключове тут — слово «довірений». Браузери тримають список центрів сертифікації, яким вони вірять апріорі. Сертифікат від такого центру приймається мовчки; сертифікат, який ви згенерували самі собі, — ні, навіть якщо шифрування під ним технічно ідентичне. Тому вся суть SSL не лише в математиці шифрування, а й у ланцюжку довіри: хтось авторитетний ручається, що сайт за цією адресою — справді той, за кого себе видає.
Різниця між http:// і https:// — це буквально та сама «s» у кінці, що означає «secure». Але наслідки цієї літери відвідувач бачить одразу.
На захищеному сайті поруч з адресою — нейтральна іконка замка. На незахищеному Chrome давно показує сірий напис «Не захищено», а незабаром показуватиме повноекранне попередження з кнопкою підтвердження. Уявіть, що людина клікнула на ваше оголошення в Instagram, а замість сторінки товару побачила екран «Зловмисники можуть намагатися викрасти ваші дані». Скільки з них натиснуть «Все одно продовжити»?
Ми в Netloria не раз бачили, як власник бізнесу тижнями списував падіння заявок на «сезон» чи «алгоритми», поки причина була буквально в адресному рядку — сайт віддавав контент по HTTP, і половина відвідувачів розверталася на першому ж екрані.
Ще років десять тому шифрування вважали потрібним лише банкам та інтернет-магазинам. Зараз це стандарт для всього вебу, і цифри це підтверджують. За даними Google, частка сторінок, які завантажуються через HTTPS у Chrome, зросла приблизно з 30–45% у 2015 році до 95–99% станом на 2020-й — і відтоді тримається на цьому рівні. На Windows це близько 95%, на Android і Mac — понад 99%, на ChromeOS — майже 100%.
Тобто сайт без HTTPS сьогодні — це той рідкісний виняток, на якому браузер спеціально загострює увагу. І тут працюють три окремі причини перейти, а не одна.
Довіра відвідувача. Замок і чиста адреса — це те, на що люди навчилися зважати підсвідомо. Позначка «Не захищено» на сторінці оплати вбиває конверсію ефективніше за будь-яку помилку в тексті.
Позиції в пошуку. Google офіційно використовує HTTPS як сигнал ранжування ще з 2014 року. Сам по собі він легкий — переходом на HTTPS ви не злетите в топ. Але за інших рівних умов захищений сайт має перевагу над незахищеним конкурентом, а це рівно та ситуація, у якій опиняється більшість малих бізнесів у видачі.
Технічні можливості. Багато сучасних функцій браузера — геолокація, push-сповіщення, сервіс-воркери для офлайн-режиму, коректна робота платіжних форм — просто відмовляються працювати на незашифрованому з’єднанні. Без HTTPS ви обрізаєте собі частину інструментів ще до того, як подумали ними скористатися.
Коли доходить до вибору, з’ясовується, що «SSL-сертифікат» — це не один продукт, а три рівні перевірки. Відрізняються вони не силою шифрування (вона однакова), а тим, що саме центр сертифікації перевіряє перед видачею.
| Тип | Що перевіряють | Швидкість видачі | Кому підходить |
|---|---|---|---|
| DV (Domain Validation) | Тільки те, що ви керуєте доменом | Хвилини, автоматично | Блоги, лендінги, більшість сайтів малого бізнесу |
| OV (Organization Validation) | Домен + реальне існування компанії | Від кількох годин до кількох днів | Корпоративні сайти, де важлива юридична прозорість |
| EV (Extended Validation) | Поглиблена перевірка організації за суворим регламентом | Кілька днів, з документами | Банки, великі магазини, фінтех |
Важливий нюанс, про який мовчать продавці дорогих сертифікатів: колись EV показував зелений рядок з назвою компанії в адресі — і саме цим його продавали. Сучасні браузери цей зелений рядок прибрали. Для відвідувача DV, OV та EV сьогодні виглядають однаково — той самий замок. Тож переплачувати за EV має сенс лише там, де є реальні регуляторні чи внутрішні вимоги, а не заради «ефекту довіри», якого користувач уже не побачить.
Ще одне запитання, на якому бізнес втрачає гроші на рівному місці. Дуже часто SSL намагаються продати як окрему платну послугу за кількасот-кілька тисяч гривень на рік — хоча в переважній більшості випадків він уже безкоштовний.
Некомерційний центр сертифікації Let’s Encrypt видає DV-сертифікати безкоштовно, автоматично й для будь-кого. Вони діють 90 днів і поновлюються самі, без участі людини. Саме на Let’s Encrypt працює величезна частина сучасного вебу.
Практично це означає ось що.
У проєктах Netloria ми за замовчуванням ставимо безкоштовний сертифікат з автоматичним поновленням — щоб клієнт узагалі не думав про цю технічну деталь і не отримав через рік сюрприз у вигляді сплившого терміну.
Наявність сертифіката ще не означає, що все працює. Ось найчастіші проблеми, через які замок зникає або сайт починає лякати відвідувачів попередженнями. Пройдіться цим списком по власному сайту прямо зараз.
http://. Браузер вважає таку сторінку не до кінця захищеною й прибирає замок. Класична пастка після переїзду старого сайту на HTTPS.example.com, а людина заходить на www.example.com — і бачить помилку, бо для браузера це різні адреси.Найпідступніша з цих проблем — змішаний контент, бо сайт при цьому виглядає майже здоровим. Пригадуємо типовий сценарій із практики: бізнес переносить старий сайт на HTTPS, головна сторінка отримує замок, усі видихнули — а за тиждень випадково помічають, що на сторінках товарів замка немає, бо десятки зображень, залитих ще роками тому, досі мають адреси через http://. Кожне таке посилання доводиться відшукувати в базі й переписувати — іноді воно захардкоджене в темі, іноді в самому тексті поста, іноді в сторонньому плагіні, який підставляє повний шлях. Саме тому міграцію на HTTPS ми ніколи не вважаємо завершеною, поки не пройшли всі внутрішні сторінки, а не лише головну.
Дрібниця? Для браузера — ні. Замок або чесний на всій сторінці, або його немає взагалі.
Перевірити базово можна за півхвилини: відкрийте сайт, клікніть на замок біля адреси, подивіться термін дії й на кого виданий сертифікат. Якщо замка немає або він перекреслений — розбиратися треба вже сьогодні, а не після жовтневого оновлення Chrome. Окремо варто клікнути не лише по головній, а й по кількох внутрішніх сторінках — саме там ховається змішаний контент, який на головній непомітний.
Порядок дій залежить від того, у якому стані ваш сайт.
Якщо HTTPS немає взагалі — почніть з хостингу: у більшості панелей безкоштовний сертифікат вмикається одним кліком, після чого потрібно налаштувати переадресацію всього HTTP-трафіку на HTTPS і перевірити сайт на змішаний контент. Якщо сертифікат є, але замок нестабільний — майже завжди проблема в одному з пунктів чек-листа вище, і лікується вона точково.
Окрема ситуація — якщо попередження браузера з’явилося раптово після того, як сайт довго працював нормально. Це може бути не лише сплившим сертифікатом, а й ознакою злому чи підміни налаштувань. Що робити в такому разі, ми детально розібрали в статті сайт зламали: що робити. І ще одна суміжна деталь: сертифікат прив’язаний до домену, тож при його виборі теж є свої підводні камені — про них у матеріалі як обрати домен для сайту.
SSL — це той випадок, коли правильне налаштування коштує нуль гривень і півгодини роботи, а помилка може тижнями непомітно зливати заявки. Прикро втрачати клієнтів через технічну дрібницю, про яку ви навіть не підозрювали.
Якщо ви не хочете розбиратися в типах сертифікатів, переадресаціях і змішаному контенті — це нормально, для цього є ми. Netloria створює корпоративні сайти з коректно налаштованим HTTPS, автоматичним поновленням сертифіката й перевіркою на всі перелічені вище пастки — щоб ви думали про клієнтів, а не про замочок у браузері. Напишіть нам, і ми подивимося, у якому стані ваш сайт зараз.
