Dlaczego Twoja strona musi mieć certyfikat SSL i HTTPS

Pamiętasz zieloną kłódkę przy adresie strony? Chrome już jej nie pokazuje. Nie dlatego, że szyfrowanie przestało być ważne — przeciwnie. Stało się tak oczywiste, że przeglądarka wyróżnia dziś tylko strony, które go nie mają. Napisem „Niezabezpieczona", tuż obok Twojego adresu.

Wyjaśniam, czym jest certyfikat SSL, co tracisz bez niego i jak zdobyć go za darmo — w kilka minut, bez wiedzy technicznej.

Czym jest certyfikat SSL i jak działa HTTPS

Wyobraź sobie, że dane między przeglądarką klienta a Twoją stroną podróżują jak poczta. Zwykłe HTTP to pocztówka — każdy, kto ma ją po drodze w rękach, może przeczytać treść. HTTPS to list w zaklejonej kopercie: nawet jeśli ktoś go przechwyci, zobaczy tylko bezużyteczny szyfr.

Tę kopertę zapewnia certyfikat SSL (a właściwie jego nowsza wersja, TLS — nazwa „SSL" po prostu się przyjęła). Certyfikat robi dwie rzeczy:

• szyfruje połączenie — hasła, dane z formularzy i numery kart nie lecą przez internet otwartym tekstem,
• potwierdza tożsamość domeny — klient ma pewność, że łączy się z Twoją stroną, a nie z podstawioną kopią.

Po stronie odwiedzającego różnica jest prosta: adres zaczyna się od https://, a przeglądarka nie wyświetla żadnych ostrzeżeń.

Certyfikaty różnią się zakresem weryfikacji:

Dobra wiadomość: małej firmie w zupełności wystarczy certyfikat DV — a ten dostaniesz za darmo. Poziom samego szyfrowania jest we wszystkich trzech typach identyczny.

Co widzi klient gdy strona nie ma SSL

Brak certyfikatu przestał być niewidoczny. Przeglądarki aktywnie ostrzegają przed stronami HTTP — i robią to w najgorszym możliwym miejscu: na oczach Twojego klienta.

Chrome już od 2018 roku oznacza każdą stronę HTTP napisem „Niezabezpieczona" przy adresie. Firefox robi to samo, dokładając przekreśloną kłódkę. A gdy klient zacznie wpisywać cokolwiek w formularz na takiej stronie, ostrzeżenie staje się jeszcze bardziej natarczywe.

Co ciekawe, sama zielona kłódka odeszła do historii. Google usunęło ją z paska adresu w Chrome 117 (wrzesień 2023) i zastąpiło neutralną ikoną ustawień. Powód? Badania Google pokazały, że zdecydowana większość użytkowników źle rozumiała jej znaczenie — myśleli, że kłódka gwarantuje, iż strona jest godna zaufania, a nie tylko że połączenie jest szyfrowane.

Wniosek dla właściciela firmy jest prosty:

• HTTPS nie daje już przewagi — jest standardem, którego nikt nie zauważa,
• brak HTTPS to jaskrawy sygnał ostrzegawczy — wyjątek, który rzuca się w oczy.

A klienci reagują tak, jak można się spodziewać. Napis „Niezabezpieczona" obok nazwy Twojej firmy działa jak tabliczka „remont" na drzwiach sklepu. Część osób zamknie stronę od razu, zanim w ogóle zobaczy ofertę. Nikt nie zostawi danych w formularzu, przy którym przeglądarka właśnie go ostrzegła.

SSL a pozycja w Google i dane klientów

Szyfrowanie to nie tylko kwestia wizerunku. Wpływa na dwa obszary, które bolą najbardziej: widoczność w Google i odpowiedzialność prawną.

Google traktuje HTTPS jako sygnał rankingowy już od 2014 roku. Przy dwóch podobnych stronach wyżej stanie ta szyfrowana. To nie jest najsilniejszy czynnik SEO, ale w lokalnej konkurencji — gdzie o klienta walczy kilka podobnych firm — każdy sygnał ma znaczenie. Pisałem o tym więcej w artykule o SEO lokalnym dla małej firmy.

Drugi obszar to RODO. Jeśli masz na stronie formularz kontaktowy, zbierasz dane osobowe — imię, adres e-mail, numer telefonu. Przepisy wymagają, by dane były przetwarzane w sposób zapewniający ich odpowiednie bezpieczeństwo. Wysyłanie ich przez internet otwartym tekstem trudno tak nazwać.

Co ryzykujesz bez SSL:

Ostatni punkt bywa zaskoczeniem: nowoczesne protokoły, które przyspieszają ładowanie strony, działają wyłącznie po HTTPS. Brak certyfikatu potrafi więc pośrednio pogorszyć też szybkość — a ta również wpływa na pozycję w Google, o czym pisałem przy okazji Core Web Vitals.

Darmowy certyfikat z Let's Encrypt

Najlepsza wiadomość w całym temacie: certyfikat SSL nie musi kosztować ani złotówki. Let's Encrypt to niekomercyjna jednostka certyfikująca, która wystawia darmowe certyfikaty DV — dokładnie takie, jakich potrzebuje strona małej firmy.

W praktyce nie musisz nawet wiedzieć, jak to działa. Większość hostingów ma Let's Encrypt wbudowany w panel: zaznaczasz domenę, klikasz „włącz SSL" i po chwili strona działa po HTTPS. Certyfikat odnawia się sam. Jeśli Twój hosting tego nie oferuje, to sygnał, że warto rozważyć zmianę — podpowiadam, na co patrzeć, w poradniku jak wybrać serwer dla swojej strony.

Automatyczne odnawianie przestało być zresztą wygodą, a stało się koniecznością. Branża skraca ważność certyfikatów:

• od 15 marca 2026 — certyfikat może być ważny maksymalnie 200 dni,
• od marca 2027 — maksymalnie 100 dni,
• od marca 2029 — zaledwie 47 dni.

Decyzję podjęły wspólnie wszystkie główne przeglądarki (Google, Apple, Mozilla, Microsoft). Ręczne pilnowanie i przedłużanie certyfikatu co kilka tygodni nie ma sensu — automat musi robić to za Ciebie. I robi, jeśli hosting jest dobrze skonfigurowany.

Czy płatny certyfikat ma jeszcze sens? Czasem tak: OV i EV dla instytucji finansowych czy dużych sklepów, gdzie liczy się formalna weryfikacja firmy. Ale dla strony firmowej, bloga czy wizytówki płacenie za samo szyfrowanie to dziś wyrzucanie pieniędzy.

Jak poprawnie włączyć HTTPS na swojej stronie

Samo włączenie certyfikatu to połowa pracy. Żeby przejście na HTTPS nie zaszkodziło stronie, dopilnuj kilku rzeczy:

• Przekierowanie 301 — każdy adres http:// musi automatycznie prowadzić do wersji https://. Bez tego Google widzi dwie kopie tej samej strony.
• Jedna wersja adresu — z www albo bez, ale konsekwentnie. Wszystkie warianty mają kierować do jednego docelowego adresu.
• Mieszana zawartość (mixed content) — jeśli strona ładuje się po HTTPS, ale obrazki czy skrypty wciąż po HTTP, przeglądarka je blokuje albo ostrzega. Wszystkie zasoby muszą być szyfrowane.
• Google Search Console — dodaj wersję https:// usługi i zaktualizuj mapę witryny.
• Test na końcu — sprawdź stronę na telefonie i komputerze, zajrzyj też do konsoli przeglądarki (F12), czy nie ma ostrzeżeń.

Przykład z mojej praktyki: klient włączył SSL w panelu hostingu i uznał temat za zamknięty. Tymczasem przy adresie dalej straszyło ostrzeżenie. Powód? Setki obrazków w treści miały wpisane pełne adresy z http:// — strona niby szyfrowana, ale doładowywała niezabezpieczone pliki. Rozwiązaniem była jedna operacja podmiany adresów w bazie danych i po kilku minutach problem zniknął.

Ten mechanizm to zresztą bliski kuzyn przenosin strony — pisałem o tym w artykule o migracji strony bez utraty pozycji w Google.

Najczęstsze pytania o certyfikat SSL

Czy certyfikat SSL musi kosztować?

Nie. Let's Encrypt wystawia darmowe certyfikaty DV, które w zupełności wystarczą stronie firmowej. Płatne certyfikaty OV i EV mają sens głównie dla banków i dużych sklepów, gdzie liczy się formalna weryfikacja firmy.

Czy SSL spowalnia stronę?

Nie — zwykle jest odwrotnie. Narzut szyfrowania jest pomijalny, a HTTPS otwiera dostęp do protokołu HTTP/2, który przyspiesza ładowanie strony.

Mam prostą wizytówkę bez formularzy. Też potrzebuję SSL?

Tak. Przeglądarka i tak oznaczy stronę jako „Niezabezpieczoną", a Google obniży jej pozycję względem szyfrowanej konkurencji. Skoro certyfikat jest darmowy, nie ma powodu go nie mieć.

Co to jest mieszana zawartość (mixed content)?

To sytuacja, gdy strona działa po HTTPS, ale część plików (obrazki, skrypty, style) ładuje się po HTTP. Przeglądarka wtedy ostrzega lub blokuje te pliki. Naprawa polega na podmianie adresów zasobów na szyfrowane.