Co to jest certyfikat SSL i HTTPS
Gdy otwierasz stronę przez HTTPS, przeglądarka i serwer szyfrują wszystko, co między sobą przesyłają: treść strony, dane z formularza, hasło do panelu. Ktoś, kto podsłuchuje sieć — na przykład w publicznym Wi-Fi — widzi tylko nieczytelny ciąg znaków i nie może niepostrzeżenie podmienić treści.
Certyfikat SSL to elektroniczny dokument, który potwierdza, że serwer naprawdę obsługuje daną domenę. Wydaje go zaufany urząd certyfikacji, a przeglądarka sprawdza go przy każdym połączeniu. Nazwa „SSL” jest historyczna — dziś szyfrowanie zapewnia protokół TLS — ale w ofertach i rozmowach nadal mówi się o certyfikatach SSL.
Warto znać też granicę tego zabezpieczenia. HTTPS mówi, że połączenie jest szyfrowane i prowadzi do właściwej domeny. Nie mówi, czy firma za stroną jest uczciwa — certyfikaty mają również strony wyłudzające dane. Między innymi dlatego Chrome od 2023 r. nie pokazuje przy bezpiecznych stronach kłódki, którą wielu użytkowników odczytywało jako znak, że strona jest godna zaufania. Szyfrowanie ma być standardem, a ostrzeżenia — wyjątkiem.
Co widzi klient, gdy strona nie ma HTTPS
Od 2018 r. Chrome oznacza wszystkie strony otwierane przez zwykłe HTTP jako niezabezpieczone. Firefox pokazuje przy takich stronach przekreśloną ikonę, a przy formularzach logowania dodatkowo ostrzega, że połączenie nie jest bezpieczne.
Od jesieni 2026 r. ostrzeżenie jest jeszcze wyraźniejsze. Chrome 154 domyślnie pyta użytkownika, zanim połączy się z publiczną stroną przez nieszyfrowane HTTP. Zmiana jest wdrażana stopniowo, a przeglądarka nie powtarza pytania przy stronach, które ktoś regularnie odwiedza. Ostrzeżenie zobaczą więc przede wszystkim nowi goście — czyli dokładnie ci, którzy właśnie znaleźli Cię w Google albo kliknęli reklamę. Szczegóły opisują informacje o wersji Chrome 154.
Dla firmy to prosty rachunek. Klient, który przed wejściem na stronę widzi pytanie o bezpieczeństwo, ma powód, żeby wrócić do wyników wyszukiwania i kliknąć konkurencję. A jeśli zostanie, wpisuje imię, telefon czy adres w formularz, który przesyła je otwartym tekstem.
A co z pozycją w Google?
Google traktuje bezpieczne połączenie jako element dobrego doświadczenia na stronie. Jednocześnie zaznacza, że poza Core Web Vitals elementy tego doświadczenia nie podnoszą bezpośrednio pozycji, a najważniejsza jest trafność treści. HTTPS nie wypchnie więc strony na pierwsze miejsce. Jego brak kosztuje za to tam, gdzie liczy się zaufanie: przy wejściu na stronę i przy wysyłaniu formularza.
Jaki certyfikat wybrać: DV, OV czy EV
Certyfikaty różnią się tym, co urząd certyfikacji sprawdza przed ich wydaniem. Samo szyfrowanie jest w każdym przypadku tak samo mocne.
| Rodzaj | Co jest sprawdzane | Kiedy ma sens |
|---|---|---|
| DV (Domain Validation) | Tylko kontrola nad domeną; wydanie może być w pełni automatyczne | Większość stron firmowych, blogów i sklepów |
| OV (Organization Validation) | Dodatkowo istnienie i dane organizacji | Gdy wymaga tego partner, przetarg albo wewnętrzna polityka bezpieczeństwa |
| EV (Extended Validation) | Rozszerzona weryfikacja firmy | Rzadko potrzebny w małej firmie |
Kiedyś certyfikaty EV wyróżniały się nazwą firmy w pasku adresu. Główne przeglądarki odeszły od tego — informację o organizacji widać dopiero w szczegółach połączenia, a na pierwszy rzut oka strona z certyfikatem DV i EV wygląda tak samo. Dlatego dla małej firmy zwykle najlepszym wyborem jest bezpłatny certyfikat DV, np. od Let's Encrypt, instalowany i odnawiany automatycznie przez hosting.
Zwróć uwagę na zakres certyfikatu. Musi obejmować zarówno adres z „www”, jak i bez, a także subdomeny, z których korzystasz, np. sklep czy panel klienta. Przy wielu subdomenach przydaje się certyfikat typu wildcard albo osobne certyfikaty dla każdej z nich.
Ważność certyfikatu i automatyczne odnawianie
Certyfikat działa przez określony czas, a ten czas systematycznie się skraca. Zgodnie z zasadami CA/Browser Forum, czyli porozumienia urzędów certyfikacji i twórców przeglądarek, publiczne certyfikaty wystawione od 15 marca 2026 r. mogą być ważne najwyżej 200 dni. Od marca 2027 r. limit spadnie do 100 dni, a od marca 2029 r. — do 47 dni.
W praktyce ręczne odnawianie raz w roku odchodzi do historii. Certyfikat musi odnawiać się sam, a ktoś powinien pilnować, czy automat działa. Nie licz na przypomnienia mailowe — Let's Encrypt, popularny wystawca bezpłatnych certyfikatów, przestał je wysyłać w 2025 r.
Gdy certyfikat wygaśnie, przeglądarka zamiast strony pokazuje pełnoekranowy komunikat, że połączenie nie jest prywatne. Trudno oczekiwać, że klient przejdzie dalej mimo takiego ostrzeżenia. Dlatego ważność certyfikatu warto monitorować razem z dostępnością strony, zamiast dowiadywać się o problemie od klientów.
Jak poprawnie wdrożyć HTTPS na stronie
Instalacja certyfikatu to dopiero połowa pracy. Żeby strona naprawdę działała przez HTTPS, trzeba dopilnować kilku rzeczy:
- Jeden adres główny. Wybierz wersję z „www” albo bez i ustaw stałe przekierowania 301 z pozostałych wariantów, w tym ze wszystkich adresów zaczynających się od http://.
- Ustawienia CMS-a. Adres strony w panelu, mapa strony i adresy kanoniczne powinny zaczynać się od https://.
- Mieszana treść. Jeśli strona otwierana przez HTTPS ładuje coś przez HTTP, przeglądarka próbuje przełączyć obrazy, dźwięk i wideo na HTTPS, a skrypty, style i ramki blokuje. Efekt: rozjechany wygląd albo niedziałający formularz. Adresy zasobów trzeba poprawić u źródła.
- HSTS. To nagłówek, który każe przeglądarce zawsze łączyć się z Twoją domeną przez HTTPS. Włączaj go dopiero wtedy, gdy wszystko działa — także na subdomenach, jeśli obejmujesz je tym ustawieniem.
- Narzędzia i profile. Sprawdź w Search Console, czy Google widzi wersję https://, i zaktualizuj adres w analityce, profilach firmy i reklamach.
Przy dużej, starszej stronie przejście z HTTP na HTTPS oznacza w praktyce zmianę wszystkich adresów, więc wymaga planu przekierowań. Opisuję go w artykule o migracji strony bez utraty pozycji w Google.
Najczęstsze problemy z certyfikatem
- Wygasły certyfikat. Automatyczne odnawianie przestało działać, np. po zmianie DNS albo zmianie hostingu, i nikt tego nie zauważył.
- Certyfikat na niewłaściwą nazwę. Obejmuje adres z „www”, a klienci wchodzą bez niego — albo odwrotnie.
- Pętla przekierowań. Serwer i usługa pośrednicząca, np. CDN, odsyłają ruch nawzajem między HTTP i HTTPS.
- Stare wersje protokołu. TLS 1.0 i 1.1 są oficjalnie wycofane. Serwer powinien obsługiwać TLS 1.2 i 1.3.
- Zapomniane subdomeny. Strona główna ma certyfikat, a sklep, panel klienta czy archiwalna wersja strony na subdomenie już nie.
Większość tych problemów wychodzi przy zmianach: nowej stronie, nowym hostingu, przełączeniu DNS. Dlatego certyfikat jest jednym z pierwszych punktów na mojej liście kontrolnej po każdej publikacji i przeprowadzce. Jeśli dopiero wybierasz dostawcę, sprawdź, czy certyfikat jest w cenie — piszę o tym w tekście o tym, jak wybrać hosting dla firmy.
Jak sprawdzić HTTPS na swojej stronie w kilka minut
Nie potrzebujesz specjalistycznych narzędzi, żeby zrobić pierwszy przegląd. Wystarczy przeglądarka i kilka minut:
- Wpisz adres z http:// — zarówno z „www”, jak i bez. W każdym przypadku powinno nastąpić przekierowanie na jedną wersję z https://.
- Kliknij ikonę obok adresu i otwórz informacje o połączeniu. Sprawdź, czy przeglądarka uznaje je za bezpieczne i do kiedy ważny jest certyfikat.
- Przejdź po kilku podstronach — szczególnie po tych z formularzem, galerią czy osadzoną mapą. Ostrzeżenie na jednej podstronie zwykle oznacza mieszaną treść właśnie tam.
- Wyślij formularz testowy i upewnij się, że po wysłaniu nie trafiasz na adres z http://.
- Sprawdź subdomeny, z których korzystasz: sklep, panel klienta, system rezerwacji.
Jeśli na którymkolwiek etapie pojawi się ostrzeżenie, zapisz adres podstrony i zrób zrzut ekranu. Osobie, która zajmuje się stroną, oszczędzi to sporo zgadywania.
HTTPS w moich projektach
HTTPS jest w cenie każdej strony, którą przygotowuję — razem z przekierowaniami i sprawdzeniem, czy żaden element nie ładuje się przez HTTP. Na moim hostingu, od 690 zł netto rocznie, certyfikat SSL jest wliczony i odnawia się automatycznie. Pierwszy rok hostingu możesz mieć w cenie strony.
Jeśli Twoja obecna strona wciąż działa przez HTTP albo przeglądarka pokazuje przy niej ostrzeżenia, napraw to przed jakąkolwiek kampanią. Audyt SEO, od 990 zł netto, zaczynam od techniki — przy okazji sprawdzę, czy HTTPS i przekierowania działają tak, jak powinny.