Сайт не защищён: сертификат истёк или не подходит, что делать по шагам

Сначала узнайте, что именно не нравится браузеру: срок сертификата, имя в нём, адрес с http:// внутри страницы или цепочка файлов на сервере. Причин четыре, чинятся они по-разному, и угадывать не нужно: ответ виден в сведениях о сертификате за полминуты.

Чего делать не надо: нажимать «всё равно продолжить» на страницах, где вы вводите пароль или данные карты, и отключать HTTPS, чтобы предупреждение пропало. Без HTTPS браузер всё равно пишет «не защищено», а Google объявил, что Chrome 154 станет спрашивать разрешение перед первым заходом на такой сайт.

Как определить причину

Нажмите на значок слева от адреса и откройте сведения о сертификате. Затем сверьтесь с таблицей.

Что видно	Вероятная причина	Что делать	Кто обычно чинит
Срок действия закончился вчера или раньше	Не прошло продление	Продлить сертификат, перезагрузить веб-сервер	Хостинг или тот, кто ставил сертификат
В сертификате одно имя, открываете другое	Сертификат выдан на site.ru, а сайт открывают как www.site.ru, или домен переехал	Выпустить сертификат на оба имени	Хостинг или подрядчик
Страница открывается, но без оформления, форма не работает, замок с предупреждением	Смешанное содержимое: на странице есть адрес с http://	Найти адрес и заменить на https://	Тот, кто редактирует шаблон
Ошибка на одних устройствах, на других нет	На сервере не хватает промежуточного сертификата в цепочке	Настроить на сервере полную цепочку	Тот, кто настраивал сервер

Последняя строка коварна: такой сбой выглядит по-разному на разных устройствах, поэтому проверьте сайт ещё и с телефона по мобильной сети.

Если истёк срок

Это самая частая причина и самая простая. На хостинге, где сертификат подключается кнопкой, достаточно открыть раздел сертификатов и выпустить новый. Если сертификатом занимался подрядчик, пишите ему сегодня, а не завтра.

Продление может не пройти и по причине, которая выглядит как совсем посторонняя. Центр, который выдаёт сертификат, каждый раз проверяет, что вы управляете доменом. Если вы поменяли записи в DNS или перенесли сайт на другой сервер, автоматическая проверка могла перестать проходить, а сообщение об ошибке ушло на почту человека, который у вас уже не работает. Поэтому после продления спросите, куда придут сообщения в следующий раз.

Если имя не подходит

Сертификат выдают на конкретные имена. Классическая история: сертификат оформили на site.ru, а часть ссылок, рекламы или внешних сайтов ведёт на www.site.ru. Проверьте оба написания и убедитесь, что одно из них перенаправляет на другое, а сертификат покрывает оба.

Вторая история: домен перенесли с прежнего адреса на новый, а старый остался в закладках и ссылках. Сертификат на новый адрес есть, на старый нет, и именно старый открывает половина ваших клиентов.

Если страница смешанная

Страница открыта по HTTPS, но часть содержимого подгружается по адресу с http://. По документации MDN, браузеры сами переводят картинки на HTTPS, а скрипты, стили, шрифты и содержимое фреймов блокируют. Поэтому симптом такой: фотографии на месте, а оформление пропало или не отправляется форма.

Найти виновника просто: откройте страницу, нажмите F12, перейдите на вкладку «Консоль». Браузер перечислит заблокированные адреса. Исправлять нужно там, где они прописаны: в шаблоне, в настройках сайта или в тексте страницы, куда когда-то вставили картинку по старой ссылке.

Что проверить после исправления

Откройте сайт с телефона по мобильной сети и в окне инкогнито: так вы не увидите то, что браузер запомнил у вас. Проверьте оба написания адреса, с www и без. Убедитесь, что адрес с http:// сам ведёт на https://: команда curl -sI http://вашсайт.ру/ должна показать ответ 301 и адрес https:// в строке Location. В сведениях о сертификате посмотрите новую дату окончания и запишите её в календарь. Отправьте тестовую заявку через форму: смешанное содержимое чаще всего ломает именно формы.

Что сказать клиентам, пока вы чините

Если сайт принимает заявки или платежи, дайте клиентам другой способ связи: телефон, почту, соцсети или мессенджер. Не просите их нажимать «всё равно продолжить»: человек, который однажды так сделал, привыкает игнорировать предупреждения и в следующий раз проигнорирует их на подделке. Сроки исправления называйте только те, которые вам известны.

Как не попасть сюда ещё раз

Предельный срок сертификата с 15 марта 2026 года не больше 200 дней, с 15 марта 2027 года 100 дней, с 15 марта 2029 года 47 дней (расписание DigiCert по решению CA/Browser Forum, подробности в статье «Что такое HTTPS и SSL-сертификат»). Чем короче срок, тем чаще продление. Примерный расчёт: сколько раз в год придётся продлевать, если сертификат живёт ровно предельный срок.

Предельный срок	Продлений в год, не меньше
398 дней	1
200 дней	2
100 дней	4
47 дней	8

Это арифметика: 365 разделить на срок и округлить в большую сторону. На практике продлевают заранее, поэтому число выше. Раз в год вспомнить и сделать вручную при сроке 100 дней уже не выйдет, надо, чтобы продление происходило само.

Из этого три практических правила. Продление автоматическое. Сообщение об ошибке продления приходит на адрес, который читают сейчас, а не на почту ушедшего подрядчика. И в вашем списке дел записано имя того, кто следит за сроком. Если следить некому, это можно поручить поддержке сайта.

Когда нужна моя помощь, а когда нет

Если у вас хостинг с кнопкой сертификата и вы уже нажали её, помощь не нужна. Если сайт на собственном сервере, а сертификат ставил человек, которого уже нет, я могу разобраться с причиной и настроить автоматическое продление с проверкой. Это входит в поддержку сайта, и я на этом зарабатываю. Хватит и разовой работы, подписка для этого не обязательна: напишите, что показывает браузер, и я скажу, что из таблицы выше у вас.

Источники

• MDN: смешанное содержимое: что браузеры делают с картинками, скриптами и стилями по адресу http://.
• DigiCert: сроки TLS-сертификатов до 47 дней: расписание предельных сроков.
• Google: Chrome 154 и режим «Always Use Secure Connections» по умолчанию, объявление от 28 октября 2025. Вышла ли версия, я не проверял.