SSL-сертификат для сайта: бесплатный, платный или от Минцифры — что выбрать компании

Короткий ответ: большинству сайтов компаний хватает бесплатного DV-сертификата с автоматическим продлением — шифрование у него такое же, как у платного, и браузеры показывают его одинаково. Платный OV или EV нужен, когда проверку организации требует договор, банк или крупный клиент. Сертификат НУЦ Минцифры ставят вторым, как запасной вариант для российских браузеров, но не вместо обычного. Главный риск не в выборе типа, а в истёкшем сроке: сайт перестаёт открываться без предупреждения.

Что такое SSL и почему без него браузер пугает посетителей?

SSL-сертификат (точнее, TLS) — файл на сервере, который подтверждает браузеру, что он говорит именно с вашим доменом, и включает шифрование. Без него сайт открывается по http, и браузер помечает его как небезопасный, а формы с телефоном или паролем — особенно заметно.

Что сертификат делает на практике:

• Шифрует данные между посетителем и сервером: телефон из формы заявки, пароль от кабинета, адрес доставки не прочитать по дороге, например в общественном Wi-Fi.
• Подтверждает домен. Браузер проверяет, что сертификат выпущен на этот адрес доверенным удостоверяющим центром и не истёк.
• Открывает современные возможности. Без HTTPS не работают геолокация, push-уведомления, установка сайта как приложения (PWA) и многие платёжные виджеты.

Чего сертификат не делает: не гарантирует, что компания честная, и не защищает от взлома самого сайта. Замок означает только защищённое соединение. Именно поэтому Chrome с 2023 года показывает вместо замка нейтральный значок настроек: разработчики браузера сочли, что замок люди воспринимают как знак надёжности сайта, а это не так.

Тип	Цена и срок	Что проверяют	Когда нужен
DV от бесплатного центра (например, Let’s Encrypt)	Бесплатно; 90 дней, дальше срок сокращается; продлевается автоматически	Только управление доменом: файл на сайте или запись в DNS	Сайт-визитка, лендинг, корпоративный сайт, магазин, кабинет — почти всем
DV платный	Платно, обычно за год обслуживания; сам сертификат перевыпускается чаще	То же, что у бесплатного	Когда нужна поддержка продавца или особый вариант: много доменов, старое оборудование
OV	Платно; выпуск от нескольких дней	Домен плюс существование организации по документам и реестрам	Когда этого требует договор, банк, тендер или служба безопасности крупного клиента
EV	Дороже OV; выпуск дольше	Расширенная проверка организации и заявителя	По прямому требованию регулятора или контрагента; для доверия посетителей почти ничего не даёт
Сертификат НУЦ Минцифры	Бесплатно; заявка на Госуслугах	Принадлежность домена, заявка от юрлица с подписью УКЭП	Как второй, резервный сертификат для посетителей из российских браузеров

Чем бесплатный сертификат отличается от платного?

Шифрованием — ничем: стойкость одинаковая, посетитель видит одно и то же. Разница в проверке владельца, сроке, поддержке продавца и способе продления. Бесплатный центр проверяет только управление доменом и рассчитан на автоматический перевыпуск, платный продаётся с проверкой организации и помощью при установке.

Самый распространённый бесплатный центр — Let’s Encrypt. По его справке, он выдаёт только DV-сертификаты (Domain Validation), сроком на 90 дней. OV и EV он не выпускает. Права на домен подтверждаются автоматически: программа на сервере кладёт проверочный файл на сайт или добавляет запись в DNS, и сертификат приходит за минуты.

Платные сертификаты продают удостоверяющие центры и их партнёры, в том числе регистраторы доменов и хостинги. За деньги вы получаете:

• проверку организации (OV или EV), если она вам нужна;
• поддержку продавца и помощь с установкой на нестандартный сервер или оборудование;
• варианты на много доменов и поддоменов, если их у вас десятки;
• иногда — страховую гарантию центра, которая в реальной жизни сайта компании почти никогда не применяется.

Важная деталь, которую продавцы не всегда объясняют. Сроки всех публичных сертификатов сокращаются. В апреле 2025 года CA/Browser Forum, объединение удостоверяющих центров и разработчиков браузеров, принял бюллетень SC-081: максимальный срок сертификата поэтапно уменьшается с 398 дней до 47, с марта 2026 по март 2029 года. Это касается и платных. Покупая сертификат «на год», вы покупаете период обслуживания, а сам файл придётся перевыпускать и ставить на сервер несколько раз. Вручную раз в полтора месяца это делать никто не будет, поэтому автоматизация нужна при любом выборе.

Let’s Encrypt тоже переходит на короткие сроки. По их плану, с 13 мая 2026 года 45-дневные сертификаты доступны по выбору, с 10 февраля 2027 года стандартный срок станет 64 дня, а с 16 февраля 2028 года — 45 дней. Если продление на сервере уже настроено автоматически, для вас ничего не поменяется.

Нужен ли сайту компании OV или EV?

Обычно нет. Посетитель не отличит OV или EV от бесплатного DV: браузеры показывают их одинаково. Покупать их стоит, только если проверку организации прямо требует договор, банк-эквайер, тендерная документация или служба безопасности вашего крупного клиента.

Раньше EV-сертификат давал зелёную строку с названием компании прямо в адресной строке. Это ушло: в Chrome 77 (2019 год) название организации перенесли в окно сведений о сайте, которое открывается по клику. Команда браузера объяснила, что такой индикатор не защищал пользователей так, как задумывалось.

Когда OV действительно оправдан:

• Требование в договоре или тендере. Иногда в ТЗ на портал для партнёров пишут «сертификат с проверкой организации». Тогда спорить бессмысленно — это пункт приёмки.
• Политика безопасности клиента. Крупные заказчики проверяют сайты подрядчиков сканерами, и в отчёте DV может стоять как замечание.
• Оборудование и старые системы. Некоторые корпоративные шлюзы и кассовые терминалы принимают только сертификаты определённых центров. Это видно из их документации, а не из рекламы продавца.

Если ни одного из этих пунктов нет, деньги на OV и EV разумнее потратить на то, что посетитель заметит: скорость сайта, понятную форму заявки, резервные копии.

Что за сертификат Минцифры и кому он нужен?

Это сертификат Национального удостоверяющего центра (НУЦ), который выдают российским юрлицам бесплатно через Госуслуги. Его понимают российские браузеры, например Яндекс Браузер, а Chrome, Safari и Firefox по умолчанию ему не доверяют. Поэтому его ставят вторым — как резерв, если зарубежный центр откажет вашей компании в выпуске.

Порядок получения описан на официальной странице gosuslugi.ru/crt. По инструкции регистратора REG.RU, шаги такие:

1. На сервере создают закрытый ключ и запрос на сертификат (CSR) с данными организации и домена.
2. Запрос подписывают усиленной квалифицированной электронной подписью (УКЭП) организации.
3. В учётной записи организации на Госуслугах подают заявление, указывают ответственного за информационную безопасность и прикладывают оба файла.
4. Заявление рассматривают до 5 рабочих дней.

Как браузер работает с таким сертификатом, описано в справке Яндекс Браузера: центр проверяет принадлежность домена, сертификат действителен, если запись о нём есть в двух публичных журналах Certificate Transparency, а отозванный сертификат браузер не примет и сайт не откроет. Там же сказано, что сертификат служит только для обмена ключами и расшифровать трафик с его помощью нельзя.

Кому он полезен:

• компаниям, для которых недоступность сайта даже на день — прямые потери: магазинам, сервисам записи, кабинетам клиентов;
• организациям, у которых уже были отказы зарубежных центров или есть причины их ожидать;
• сайтам, чья аудитория в основном пользуется российскими браузерами, например внутренним порталам с установленным браузером на рабочих местах.

На практике сертификат НУЦ держат выпущенным и готовым к установке: если основной центр откажет в продлении, его ставят на сервер вместо истекающего, понимая, что часть посетителей с другими браузерами увидит ошибку. Срок и продление такого резерва тоже нужно отслеживать. По описанию услуги сертификат выдают юридическим лицам — заявка подаётся от организации.

Что будет, если сертификат истечёт?

Сайт фактически перестанет открываться: браузер покажет полноэкранное предупреждение «Подключение не защищено», и почти никто не нажмёт «всё равно перейти». Вместе с сайтом ломаются формы, оплата, API для мобильного приложения и обмен с CRM — им нужен действующий сертификат.

Что именно отказывает в день истечения:

• Посетители. На телефоне предупреждение выглядит ещё страшнее, а кнопки обхода может не быть вовсе.
• Интеграции. Платёжный сервис, служба доставки или 1С при обращении к вашему серверу просто получают ошибку соединения. Заказы перестают приходить, и это не всегда сразу заметно.
• Мобильное приложение и бот. Если они ходят в ваш API, они перестают загружать данные. Пользователь видит «нет соединения» и думает, что сломалось приложение.
• Реклама. Объявления продолжают показываться и тратить бюджет, а переходы упираются в предупреждение.

Почему это случается даже у аккуратных компаний. Автопродление было настроено, но сломалось после переезда сервера, смены DNS или обновления. Сертификат выпускал прежний подрядчик на свой аккаунт, и продлевать его некому. Или ждали письма-напоминания: Let’s Encrypt прекратил рассылать такие письма с 4 июня 2025 года. Поэтому опора — не напоминание, а мониторинг, который сам проверяет срок и пишет за 2–3 недели до окончания. Как его настроить, мы разбирали в статье о мониторинге сайта после запуска.

Если сертификат уже истёк, порядок такой: перевыпустить его (бесплатный — за минуты), перезагрузить веб-сервер, проверить сайт по всем адресам и с телефона, затем — интеграции: тестовый заказ, тестовая оплата, ответ API. После этого найти, почему не сработало автопродление, иначе история повторится через срок нового сертификата.

Как проверить, кто выпустил сертификат и когда он кончается?

За минуту — в браузере: нажмите на значок слева от адреса сайта, выберите сведения о соединении и сертификате. Там видно, на какие домены он выпущен, кто его выпустил и до какой даты он действует. Проверьте это на всех адресах сайта, а не только на главной.

Чек-лист проверки, который можно пройти самому:

1. Срок. Если до окончания меньше трёх недель, а сертификат бесплатный, — автопродление, скорее всего, не работает. Бесплатные обычно перевыпускаются примерно за месяц до конца.
2. Выпускающий центр. Запишите его название. Если вы платите за платный сертификат, а на сайте стоит бесплатный (или наоборот), выясните у подрядчика, за что идёт оплата.
3. Все варианты адреса. С www и без, с http — все должны вести на один адрес по HTTPS без предупреждений. Частая ошибка — сертификат выпущен только на домен без www.
4. Поддомены. Кабинет, API, админка, тестовая версия — у каждого свой сертификат или общий wildcard. Проверьте каждый отдельно.
5. Смешанное содержимое. Если страница открыта по HTTPS, а картинки или скрипты грузятся по http, браузер их блокирует или ругается. Это видно в консоли разработчика или по пропавшим элементам.
6. Аккаунт. Узнайте, на чей аккаунт выпускается сертификат и кто получит уведомления. Если это личная почта бывшего подрядчика — исправьте сейчас.

Ещё один инструмент — публичные журналы Certificate Transparency. Любой сертификат, которому доверяют браузеры, записывается туда, и по имени домена можно увидеть все выпущенные на него сертификаты. Так находят забытые поддомены и замечают сертификат, выпущенный кем-то без вашего ведома.

Отдельно про доступы: кто владеет доменом и хостингом и почему их стоит оформлять на компанию, мы разбирали в статье на кого оформлять домен и хостинг. Сертификат зависит от тех же доступов: без входа в DNS или на сервер его не перевыпустить.

Когда платный сертификат не нужен?

В большинстве случаев: для сайта-визитки, лендинга, корпоративного сайта, блога и типового магазина бесплатный DV с работающим автопродлением закрывает задачу полностью. Платить имеет смысл за проверку организации по требованию, за поддержку продавца или за особый вариант — не за «надёжность» шифрования.

Типичные ошибки при выборе:

• Покупка EV «для доверия». Посетитель его не увидит. Если нужен знак доверия — реквизиты компании в подвале, понятные контакты и отзывы работают заметнее.
• Платный сертификат без автоматизации. С сокращением сроков ручная установка превращается в регулярную задачу, о которой забывают. Платный сертификат, который истёк, хуже бесплатного, который продлевается сам.
• Сертификат НУЦ вместо обычного. Посетители с Chrome, Safari или Firefox увидят ошибку. Ставить его как единственный можно только на внутренний сервис, где известно, какими браузерами пользуются сотрудники.
• Wildcard «на всё». Один сертификат на все поддомены удобен, но если его закрытый ключ утечёт с одного сервера, под угрозой окажутся все поддомены. Для пары адресов проще отдельные сертификаты.
• Сертификат от хостинга без понимания, как он продлевается. Многие хостинги выпускают бесплатный сертификат сами, и это удобно. Но при переезде на другой хостинг его нужно выпустить заново — это пункт плана переезда, а не мелочь.

Где выпускать бесплатный сертификат — на хостинге в панели или на своём сервере — зависит от того, где живёт сайт. Это часть выбора хостинга. Для сайтов, которые мы делаем, сертификат обычно выпускается на сервере с автоматическим продлением: так запущен, например, лендинг «Юнит-1» — свой домен, nginx и сертификат Let’s Encrypt.

Сколько стоит и кто это делает?

Сам бесплатный сертификат ничего не стоит, платите вы только за работу по настройке и контролю. В тарифе лендинга (от 24 000 ₽) публикация на вашем домене с настройкой SSL указана в составе работ, сайты и сервисы мы тоже выкладываем на ваш домен с HTTPS.

Что обычно входит в нормальную настройку:

• выпуск сертификата на основной домен, вариант с www и нужные поддомены;
• переадресация с http и с www на основной адрес;
• автоматическое продление и проверка, что оно реально срабатывает;
• мониторинг срока с уведомлением ответственному человеку;
• запись в инструкции: где выпускается сертификат, на какой аккаунт, что делать при сбое.

Если сайт уже работает и вы не уверены, что с сертификатом всё в порядке, проверку и настройку можно взять в поддержку сайта — от 7 900 ₽ в месяц по абонентке или разовой задачей. Туда же входит мониторинг, который предупредит об окончании срока раньше, чем посетители увидят ошибку. Корпоративный сайт (от 56 000 ₽) идёт с месяцем поддержки после запуска — за это время проверяем, что автопродление настроено, а мониторинг срока подключён.

Короткие ответы на частые вопросы

Можно ли поставить бесплатный SSL-сертификат на сайт компании?

Да. Бесплатный DV-сертификат шифрует соединение так же, как платный, и браузеры ему доверяют. Важно одно условие: продление должно быть автоматическим, потому что срок короткий.

Покажет ли браузер название компании, если купить EV-сертификат?

В адресной строке — нет: Chrome убрал название организации оттуда ещё в 2019 году, его видно только в окне сведений о сайте. Посетитель увидит тот же значок, что и с бесплатным сертификатом.

Можно ли поставить на сайт только сертификат Минцифры?

Для публичного сайта — нет: браузеры, которые не доверяют российскому удостоверяющему центру, покажут ошибку, и часть посетителей не откроет сайт. Его ставят вторым, рядом с обычным сертификатом.

Как узнать, когда кончается сертификат моего сайта?

Откройте сайт, нажмите на значок слева от адреса и найдите сведения о сертификате: там указаны выпускающий центр и дата окончания. Для постоянного контроля подключите мониторинг, который предупредит заранее.

Сколько стоит настроить SSL на сайте?

У нас настройка SSL входит в тариф лендинга (от 24 000 ₽) и в публикацию сайтов на вашем домене. Если сайт уже работает, проверку и настройку можно взять в поддержку — от 7 900 ₽ в месяц или разовой задачей.

Услуги и кейсы по теме: поддержка сайта от 7 900 ₽/мес · кейс «Юнит-1»: лендинг строительной компании · цены и сроки