Проверка SSL-сертификата

Сертификат решает одну задачу: подтвердить, что вы говорите именно с тем доменом, который набрали, и что разговор никто не читает посередине. Он привязан к имени, а не к владельцу или содержимому. Поэтому надпись о защищённом соединении означает ровно то, что канал зашифрован, — и ничего не говорит о честности людей на другом конце.

Отсюда главное недоразумение с «замочком». Мошеннический магазин так же получает сертификат за несколько минут и так же показывает защищённое соединение: проверка домена автоматическая и бесплатная, она никого не изучает. Судить о надёжности сайта нужно по другому — контактам, реквизитам, истории, отзывам вне самого сайта.

О платных и бесплатных. Шифрование у них одинаковое: разница в способе проверки и в сопутствующих обещаниях. Сертификаты Let’s Encrypt выдаются на 90 дней, и это не изъян, а расчёт на автоматическое обновление, которое происходит само собой. Проблемы начинаются там, где автообновление не настроили или оно тихо сломалось после переезда — тогда сайт одним утром встречает посетителей предупреждением.

Чего проверка не делает. Она читает то, что сервер отдаёт при соединении, и не судит о безопасности сайта: дырявый код, слитый пароль администратора или вредоносный скрипт в шаблоне остаются вне её зрения. Она также не видит сертификатов на других поддоменах и не гарантирует, что цепочка доверия сложится на старых устройствах — там своя, устаревшая база корневых центров.