HTTPS и замок в браузере: что он на самом деле значит

Замок в адресной строке успокаивает сильнее, чем должен. Он означает, что браузер говорит с тем сертификатом, который представился этим именем, и что по дороге соединение не читается открытым текстом. Он не проверяет, нет ли на странице чужого скрипта, слабого пароля админки и дыры в заказе.

Что вокруг замка всё же стоит закрыть

• Сертификат не должен кончаться в тишине. Нужен человек или мониторинг, который увидит срок заранее.
• Страница не должна тянуть картинки и скрипты по обычному HTTP. Смешанный контент браузер режет или помечает.
• Старый адрес без HTTPS должен вести на защищённый, а не жить отдельным сайтом.
• HSTS имеет смысл после того, как весь контур стабильно открывается по HTTPS, а не в первый день эксперимента.

Отдельная боль магазинов - оплата и виджеты, которые подмешивают небезопасные ресурсы только на одном шаге. Главная при этом с замком, checkout без него или с предупреждением. Покупатель видит предупреждение именно там, где его просят заплатить.

Lexora проверяет это в техническом SEO и в коротком аудите: сертификат, редиректы, смешанный контент и то, не кончается ли замок на самой важной странице.