SSL-сертификат, HTTPS и настройка DNS для сайта WordPress

Браузер показывает на Вашем сайте предупреждение «Не защищено», сертификат истёк, или после переезда на новый сервер перестала приходить рабочая почта. Всё это проблемы одного уровня: SSL-сертификат для сайта, редиректы на HTTPS и DNS-записи домена. Если что-то из этого настроено неверно, посетители теряют доверие, Google индексирует сайт дважды, а письма пропадают.

В результате работы Ваш сайт открывается с любого адреса (http, https, с www и без) через один 301-редирект на конечный HTTPS-адрес, в браузере виден замок без предупреждений, сертификат продлевается сам, а DNS-записи домена задокументированы и согласованы как для сайта, так и для почты.

Что входит в работу

• Установка или продление сертификата. В большинстве случаев достаточно бесплатного сертификата Let’s Encrypt от хостинг-провайдера: мы настраиваем его и включаем автоматическое продление. Если у Вас купленный сертификат или нужен wildcard-сертификат для поддоменов, устанавливаем его вместе с промежуточной цепочкой, чтобы ни один браузер или мобильное приложение не выдавали ошибку.
• Принудительный HTTPS и 301-редиректы. Настраиваем редиректы на уровне сервера (.htaccess или Nginx) так, чтобы http и https, с www и без www вели одним переходом на один канонический адрес. Цепочек редиректов не остаётся.
• Обновление адреса WordPress. Переключаем адрес WordPress и адрес сайта в настройках на https и заменяем в базе данных старые ссылки http:// (записи, меню, виджеты, настройки темы) поиском с заменой, который не повреждает сериализованные данные.
• Устранение смешанного содержимого (mixed content). Находим в теме, плагинах и контенте изображения, скрипты и шрифты с адресами http://, из-за которых браузер не показывает замок, и исправляем их в источнике, а не просто маскируем плагином.
• HSTS и заголовки безопасности. Когда сайт стабильно работает по HTTPS, добавляем заголовок HSTS с разумным сроком действия и проверяем остальные заголовки безопасности. В список HSTS preload добавляем только тогда, когда к этому готовы все поддомены.
• Приведение DNS-записей в порядок. Проверяем записи A/AAAA, CNAME, MX, SPF, DKIM и DMARC, а также TXT-записи для подтверждения (Google Search Console, Microsoft 365, Google Workspace), удаляем устаревшие записи и документируем, что куда указывает.
• Перенос домена без простоя. При переезде к новому хостинг-провайдеру или регистратору сначала снижаем TTL, переключаем DNS в контролируемом порядке и сохраняем рабочие MX-записи для почты. По желанию переносим DNS в Cloudflare и настраиваем прокси с подходящим режимом SSL.
• Проверка автоматического продления. Убеждаемся, что сертификат продлевается сам и проверка ACME проходит в том числе за редиректами или прокси Cloudflare, чтобы через пару месяцев никому не пришлось делать это вручную.
• Тестирование. Проверяем результат тестом SSL Labs, в разных браузерах и на мобильных устройствах, проходим все редиректы и смотрим Search Console, чтобы Google видел только один адрес.

Типичные ситуации

Браузер показывает «Не защищено», потому что бесплатный сертификат хостинга истёк, а автоматическое продление тихо не сработало. Сертификат установлен, но замка нет, потому что тема загружает шрифты и изображения с адреса http://. Сайт перенесли на новый сервер, A-запись изменили, а MX-записи остались на серверах имён старого хостинга, и рабочая почта остановилась. Google индексирует и версию с www, и без www, а Search Console сообщает о дублированном содержимом. Домен зарегистрирован на одного человека, серверы имён у другого хостинга, и никто точно не знает, где что меняется.

Что нам понадобится от Вас

• Доступ к панели управления хостингом (например, cPanel или Plesk) или к серверу по SSH.
• Доступ к регистратору домена или к управлению DNS, либо человек, который внесёт изменения по нашим инструкциям.
• Учётная запись администратора WordPress.
• Для купленного сертификата: файлы сертификата и закрытый ключ или право их заказать.
• Список сервисов, использующих домен: почта, сервис рассылок, CRM, поддомены.
• Решение о каноническом адресе: с www или без.

Что не входит в работу

• Перенос файлов и базы данных сайта на новый сервер — это отдельная услуга переноса сервера; переключение DNS в её рамках мы выполняем.
• Настройка отправки почты WordPress через SMTP и мониторинг отчётов DMARC — это услуга по доставляемости писем. Приведение в порядок записей SPF, DKIM и DMARC в DNS выполняем здесь.
• Оплата хостинга и домена, а также стоимость купленного сертификата.
• Удаление вредоносного кода, если за предупреждением на самом деле стоит заражённый сайт.
• Проверка влияния на SEO при изменении структуры URL, когда адреса меняются не только по протоколу, — это SEO-проверка после переезда.

Кому это подходит

Подходит любому владельцу сайта на WordPress или WooCommerce, у которого браузер показывает предупреждение, истёк сертификат или предстоит смена хостинга или домена. Если Вы хотите, чтобы за сертификатом, резервными копиями и обновлениями кто-то следил постоянно, посмотрите услугу хостинга и обслуживания. Если Вам нужен обзор безопасности всего сайта, а не только сертификата, начните с аудита состояния и безопасности сайта.