Adres zaczynający się od https:// i kłódka obok niego to jeden z niewielu elementów technicznych, które klient widzi na własne oczy. Wiele osób traktuje je jak znak „ta strona jest w porządku”. To skrót myślowy, który jest prawdziwy tylko w części, dlatego warto wiedzieć, co dokładnie stoi za certyfikatem SSL i jakie ma znaczenie dla małej firmy.
Co robi certyfikat SSL
Certyfikat SSL (dziś technicznie mówi się o TLS, ale nazwa SSL przyjęła się w codziennym języku) robi dwie rzeczy. Po pierwsze, szyfruje połączenie między przeglądarką klienta a serwerem, na którym działa Twoja strona. Po drugie, potwierdza, że serwer, z którym przeglądarka się łączy, rzeczywiście obsługuje dany adres.
Dobre porównanie to pocztówka i zaklejona koperta. Strona bez certyfikatu wysyła dane jak pocztówkę: po drodze może je przeczytać każdy, kto ma dostęp do sieci, np. w publicznym Wi-Fi w kawiarni. Strona z certyfikatem pakuje je do koperty, którą otworzy tylko adresat. Ma to znaczenie zwłaszcza wtedy, gdy klient wpisuje coś do formularza: imię, telefon, opis problemu, a w przypadku gabinetów – informacje o zdrowiu.
Nawet jeśli Twoja strona nie ma formularza, certyfikat jest potrzebny. Szyfrowanie chroni też przed podmianą treści po drodze, np. wstrzyknięciem reklamy przez niezabezpieczoną sieć. Klient, który czyta Twój cennik albo godziny przyjęć, powinien widzieć dokładnie to, co opublikowałeś.
Czego kłódka nie oznacza
Tu zaczynają się nieporozumienia. Kłódka mówi, że połączenie jest szyfrowane. Nie mówi natomiast nic o uczciwości właściciela strony.
- Strona oszustów podszywająca się pod bank też może mieć poprawny certyfikat.
- Certyfikat nie chroni przed włamaniem na stronę przez nieaktualne oprogramowanie czy słabe hasło.
- Nie zabezpiecza danych, które już trafiły na serwer lub do Twojej skrzynki pocztowej. O to trzeba zadbać osobno.
Między innymi z tego powodu przeglądarka Chrome w 2023 r. zastąpiła ikonę kłódki neutralną ikoną ustawień strony. Szyfrowanie stało się standardem, a kłódka zbyt często była odbierana jako znak, że strona jest godna zaufania. Inne przeglądarki wciąż pokazują kłódkę, ale jej znaczenie jest to samo: połączenie jest szyfrowane, nic więcej.
Co widzi klient, gdy certyfikatu brakuje
Dla właściciela firmy ważniejsze jest odwrotne pytanie: co się stanie, jeśli certyfikatu nie ma albo wygasł. Przy stronie bez HTTPS przeglądarki pokazują przy adresie informację, że połączenie nie jest bezpieczne. Przy wygasłym lub błędnym certyfikacie jest gorzej: zamiast strony pojawia się pełnoekranowe ostrzeżenie, że połączenie nie jest prywatne. Większość osób w tym miejscu po prostu się wycofuje.
Pomyśl o pacjentce, która wieczorem chce sprawdzić, czy gabinet przyjmuje w sobotę, albo o kliencie, który szuka numeru do elektryka. Nie będą analizować, czy ostrzeżenie dotyczy tylko technicznego drobiazgu. Zobaczą czerwony komunikat, wrócą do wyników wyszukiwania i klikną kolejną firmę. Problem z certyfikatem rzadko kończy się telefonem z pytaniem, co się stało – częściej cichą utratą klienta.
Wymagania będą rosnąć. Google zapowiedział, że od wersji 154, planowanej na październik 2026 r., Chrome domyślnie będzie ostrzegał użytkowników przed otwarciem publicznej strony, która nie obsługuje HTTPS. Strona firmowa bez certyfikatu będzie więc witać klientów komunikatem o zagrożeniu, zanim jeszcze zobaczą jej treść.
Jaki certyfikat wybrać
Certyfikaty różnią się tym, co sprawdza wystawca przed ich wydaniem.
- DV (weryfikacja domeny) – wystawca sprawdza tylko, czy kontrolujesz domenę. Takie certyfikaty są często darmowe i dostępne w pakietach hostingowych. Dla strony wizytówki gabinetu czy firmy usługowej w zupełności wystarczą.
- OV i EV – wystawca weryfikuje także firmę. Przeglądarki od kilku lat nie wyróżniają ich jednak w pasku adresu, więc klient zwykle nie zobaczy różnicy. Mają sens głównie w większych organizacjach, które mają ku temu konkretne powody.
Szyfrowanie jest w każdym z nich takie samo. Płatny certyfikat nie sprawi, że strona będzie „bardziej zabezpieczona” w oczach klienta.
Skąd wziąć certyfikat
W większości przypadków nie trzeba go nigdzie kupować osobno. Firmy hostingowe udostępniają darmowe certyfikaty, które włącza się jednym kliknięciem w panelu, a kreatory stron dodają je automatycznie do każdej strony podpiętej pod własną domenę. Jeśli stroną zajmuje się wykonawca, to on powinien włączyć certyfikat i ustawić przekierowanie z wersji bez szyfrowania. Po przeniesieniu strony na inny serwer albo zmianie ustawień domeny certyfikat trzeba zwykle wystawić na nowo – to dobry moment, żeby sprawdzić, czy wszystko działa.
Ważność i odnawianie
Każdy certyfikat ma datę ważności. Branża od lat konsekwentnie ją skraca: od marca 2026 r. maksymalny okres ważności publicznych certyfikatów wynosi 200 dni, a zgodnie z przyjętym harmonogramem ma spadać dalej, docelowo do 47 dni w 2029 r. Darmowe certyfikaty mają jeszcze krótszą ważność. W praktyce oznacza to jedno: certyfikat musi odnawiać się automatycznie. Ręczne pilnowanie dat przestaje mieć sens.
Większość firm hostingowych robi to sama, o ile certyfikat został poprawnie skonfigurowany. Warto jednak raz na jakiś czas sprawdzić, czy wszystko działa – automatyka też potrafi się zatrzymać, np. po zmianie ustawień domeny. Najprościej dopisać to do listy rzeczy sprawdzanych przy okazji innych prac przy stronie albo powierzyć osobie, która zajmuje się opieką techniczną.
Jak sprawdzić swoją stronę w pięć minut
- Wpisz adres strony z http:// na początku. Powinna automatycznie przenieść Cię na wersję https://.
- Sprawdź wersję z www i bez www. Obie powinny działać i prowadzić do tego samego adresu.
- Kliknij ikonę obok adresu i zobacz informacje o certyfikacie, w tym datę ważności.
- Otwórz kilka podstron, szczególnie te z formularzem. Na żadnej nie powinno pojawić się ostrzeżenie.
- Zwróć uwagę na komunikaty o „mieszanej zawartości”, gdy część elementów, np. zdjęcia, ładuje się jeszcze przez stary adres http.
Jeśli coś jest nie tak, zgłoś to firmie hostingowej lub osobie, która opiekuje się stroną. To zwykle szybka poprawka. Certyfikat to jednak tylko jeden element ochrony – resztę opisujemy w tekście o podstawowych zasadach bezpieczeństwa strony, a o tym, jak dbać o dane z formularzy, w artykule o formularzu kontaktowym a RODO.
Częste pytania
Czy darmowy certyfikat SSL jest gorszy od płatnego?
Pod względem szyfrowania nie. Różnica dotyczy zakresu weryfikacji firmy i dodatkowych usług wystawcy, czego zwykły odwiedzający strony wizytówki w praktyce nie zauważa.
Czy HTTPS ma znaczenie dla pozycji w Google?
Google traktuje bezpieczne połączenie jako jeden z elementów dobrego doświadczenia użytkownika, ale samo HTTPS nie zapewni wysokiej pozycji. Brak certyfikatu szkodzi natomiast zaufaniu odwiedzających.
Co zrobić, gdy klient zgłasza ostrzeżenie o certyfikacie?
Sprawdź stronę na innym urządzeniu i w innej przeglądarce, a następnie od razu zgłoś problem firmie hostingowej lub osobie, która opiekuje się stroną. Najczęściej chodzi o certyfikat, który nie odnowił się automatycznie.
