Вопрос «HTTPS и персональные данные» на практике сводится к одному: может ли кто-то ещё прочитать данные, которые человек отправляет через форму.
Что делает HTTPS
Протокол шифрует канал между браузером и сервером. Когда посетитель вводит имя и телефон на странице с https, в пути эти данные выглядят как шифр. На странице с http они идут открытым текстом — и прочитать их может тот, кто контролирует сеть: публичный Wi-Fi, провайдер, промежуточный узел.
Для бизнеса это означает:
- формы заявок, подписок и оплаты должны работать по https;
- ссылки на формы в рекламе и emails должны вести сразу на защищённый адрес;
- после переезда на https не должно оставаться «живых» http-страниц.
Что проверить владельцу
- Оба адреса. Откройте
http://сайтиhttps://сайт— работают ли одинаково, куда идёт редирект. - Формы. Нажмите «Отправить» без заполнения полей и посмотрите в адресной строке
httpsдо и после. - Сертификат. Значок замка, срок действия, выдача на нужный домен (и на
www, и без). - Мобильная версия. На телефоне те же проверки: там чаще срабатывает «http-наследие» из старых шаблонов.
Смешанный контент
Ситуация, когда страница открыта по https, а часть элементов грузится по http. Браузеры блокируют такие запросы, и форма может просто не отправиться. Проверить просто: открыть страницу, нажать F12 и посмотреть предупреждения в консоли. Если страница «вроде защищена, а кнопка не работает» — почти всегда виноват mixed content.
| Проверка | Как выглядит проблема |
|---|---|
| Замок в браузере | серый/перечёркнутый при открытом https |
| Форма | не отправляется после ввода данных |
| В консоли | Mixed Content: The page at ... was loaded over HTTPS |
| Скрипты | счётчики не инициализируются, чат не открывается |
HTTPS и документы
Документы и HTTPS связаны слабее, чем кажется: политика не требует технического описания протокола. Но если вы пишете «данные передаются защищённо», этой фразе лучше соответствовать. И наоборот: наличие сертификата не заменяет политику и согласия — это разные слои.
Типовые сценарии поломок
- Сайт «переехал» на https, а формы остались на http — в шаблоне прописаны абсолютные ссылки.
- Двойной редирект —
http → https → http → https, страница открывается медленно и не всегда корректно. - Сертификат только на домен без
www— пользователи сwwwполучают предупреждение. - Платежный виджет в iframe по http — данные карты идут по незащищённому каналу.
> Бесплатная проверка покажет тип соединения основных страниц и предупредит о рисках, видимых снаружи: проверить сайт.