Ну, слушайте, лет 10 всё собирался перевести свои маленькие бложики на религиозно верный SSL с его пресловутым https префиксом. Поначалу всё это казалось вознёй и ненужной суетой, а потом мои бложики перестали легко и быстро открываться в гуглопослушных народных браузерах. Просто однажды всё стало работать через пень-колоду — с издевательскими предупреждениями и иногда даже, ой-ой, с прямым саботажем браузера.
Нет, я по-прежнему считаю, что вся эта возня с SSL для маленьких народных страничек — пустая суета, кто-то усиленно лоббирует этот протокол явно в свою пользу; но просто деваться стало некуда. А тут снова опять переезд… Adminvps хостинг показал всё своё непримиримое недружелюбие к техническим проблемам. Пришлось нехотя расстаться, хотя я честно целый месяц уговаривал спецов порешать проблему и терпел. Но им оказалось проще «до свидания», чем решить свою профессиональную задачу. Как и во всех предыдущих случаях, к расставанию с хостингом привела неспособность техподдержки к техподдержке. Это был мой 4й хостер. Одно радует: ещё ни разу об уходе от хостера не пришлось жалеть ни секунды — каждый раз на новом месте становилось только сильно лучше.
Ах да, я же про SSL! Чуть не забыл. Короче, перечитал пару десятков рекомендаций от разных знатоков по переводу сайта на https, чуть голову всю не сломал и под себя не сходил, но поразился — отчего это в таком архи важном вопросе, как переход на SSL (как нам пытаются это преподнести) за десяток лет так не сложилось простой, безусловной и однозначной инструкции, как это сделать любому товарищу с улицы. Во многих других архиважных вопросах все изыскания всё-таки сводятся к таким выверенным рекомендациям, здесь же огород с болотами, и каждый — кто во что горазд.
Со страху я решил сделать как проще, для этого сначала забэкапил всё, что смог. В общем, для простенького WordPress бложика оказалось достаточно 1) подать заявку хостеру на бесплатный сертификат от Let’s Encrypt, 2) вписать в админке сайта лишнюю букву «s» в адрес блога по http, 3) установить плагин Really simple security (бывший Really simple SSL) и один раз его активировать. Всё, десятилетняя мучительная борьба против гуглопослушания вдруг завершилась, толком даже не начавшись.
Больше всего напряг этот самый плагин Really simple security. Для блога на WordPress любой плагин — зло! Для начала, все они пишутся частными лицами, а лица эти постепенно стареют, теряют интерес, заболевают или же вовсе того. И вот, работал отличный плагин на сайте, под него было выстроено какое-то окружающее оформление, на него возложены функции и задачи. А потом он раз — и устарел, а автор пропал без следов. И вот болтается у тебя в CMS старый скомпрометированный ошмёток кода, заменить который нечем. Прямая уязвимость. А потом — «откуда это СПАМ?», «а что это почтовый скрипт сам отправляет письма?» Ещё хуже, когда в тихой директории блога поселяется вообще чужой и левый сайт и начинает продавать машины с криминальным антуражем. И что вот с этим делать? Нет уж, когда можно обойтись без плагина — строго обязательно нужно без него обходиться. Тем более, автор Really simple SSL после 3 млн установок его софтинки почувствовал в себе резкий прилив ЧСВ и обвешал своё детище кучей платных блэкджеков со шл…ми, и дело движется совсем в плохую сторону — скоро плагин будет полностью захватывать сайт, а освобождать его придётся не иначе как за выкуп…. Нет, нет, нет, плохой сценарий. В общем, первое над чем я задумался — а можно ли его отключить после первичной активации.
Ну ладно, лукавлю. После первичной активации Really simple SSL на сайте сломалось всё оформление. Прямо в мясо сломалось, в фарш. Однако, один умный человек любит мне повторять «после — не значит вследствие»! По интернету немало воплей на этот счёт, ой сломался сайт после активации Really simple security. На деле, у меня был активен ещё и кэширующий плагин. И вот получилось: Really simple security включил PHP переадресацию 301, а выдача страницы в браузер пошла сразу и из старого доброго кэша и из новых правил переадресации, и всё в итоге смялось. Я конечно со страху сразу выключил плагин Really simple SSL, но потом ума хватило ещё и кэш ускоряющего плагина полностью очистить. В итоге, сразу оформление починилось, и само. Но полезные действия Really simple security по настройке SSL на блоге тоже сохранились!
Поэтому, на следующем бложике я сразу так и сделал, по оптимальной схеме: установил Really simple security, сразу отключил плагин кэширования с очисткой прежнего кэша, произвёл нужные действия с Really simple security и выключил его на. Включил обратно кэш и ничего на этот раз не съехало. Рабочая схема. Ещё раз: 1) запрос на подключение SSL сертификата у хостера, 2) через 15 минут переименование в админке адреса сайта с http на https, 3) отключение кэширующих и защитных плагинов, 4) установка Really simple security и выполнение его запуска, 5) выключение Really simple security и подключение обратно кэширования и защиты. И мы на коне. Ну, то есть на https. Вот