Certyfikat SSL i HTTPS. Co to jest i jak go wdrożyć?

Gdy wpisujesz adres strony, przeglądarka w ułamku sekundy sprawdza, czy połączenie jest szyfrowane. Jeśli nie, przy adresie pojawia się komunikat „Niezabezpieczona”, a formularz kontaktowy wygląda dla klienta podejrzanie. Rozwiązaniem jest certyfikat SSL i działanie strony pod adresem z https.

W tym poradniku wyjaśniamy, czym jest certyfikat, jaki wybrać i jak przejść na HTTPS tak, żeby nie stracić pozycji w Google.

Czym jest certyfikat SSL i HTTPS?

Certyfikat SSL to plik zainstalowany na serwerze, który robi dwie rzeczy:

• potwierdza tożsamość domeny (a w droższych wariantach także firmy),
• umożliwia szyfrowanie danych przesyłanych między przeglądarką a serwerem: haseł, formularzy, danych zamówień.

Nazwa SSL jest historyczna. Sam protokół SSL od lat uznaje się za niebezpieczny i współcześnie połączenia szyfruje jego następca, TLS (w wersjach 1.2 i 1.3). W praktyce wszyscy nadal mówią „certyfikat SSL”, więc i my używamy tej nazwy.

HTTPS to po prostu protokół HTTP działający w zaszyfrowanym połączeniu TLS. Strona z poprawnym certyfikatem otwiera się pod adresem https://, a przeglądarka nie wyświetla ostrzeżeń.

Dlaczego HTTPS jest dziś obowiązkowy?

Nie ma przepisu, który nakazywałby HTTPS każdej stronie, ale w praktyce nie da się bez niego funkcjonować:

1. Zaufanie użytkowników. Chrome i inne przeglądarki oznaczają strony bez szyfrowania jako niezabezpieczone, szczególnie gdy mają formularze.
2. Bezpieczeństwo danych. Bez szyfrowania dane z formularza mogą zostać podejrzane, np. w publicznej sieci Wi-Fi.
3. SEO. HTTPS jest jednym z sygnałów branych pod uwagę przez Google. Jego wpływ jest niewielki, ale brak szyfrowania to dziś wyraźny wyjątek.
4. Technologia. Szybsze protokoły HTTP/2 i HTTP/3 przeglądarki obsługują tylko w szyfrowanym połączeniu. HTTPS wymagają też nowoczesne funkcje przeglądarek i wiele integracji (płatności, logowanie, API).
5. RODO. Szyfrowanie transmisji to jeden z podstawowych środków ochrony danych osobowych zbieranych przez formularze.

Jaki certyfikat SSL wybrać?

Certyfikaty różnią się przede wszystkim poziomem weryfikacji, a nie siłą szyfrowania.

Ważna uwaga: przeglądarki już od lat nie wyróżniają certyfikatów EV zieloną nazwą firmy w pasku adresu. Dla zwykłego użytkownika strona z certyfikatem DV i EV wygląda tak samo. Dlatego EV kupuje się dziś głównie z powodów formalnych.

Let's Encrypt czy certyfikat płatny?

Let's Encrypt to bezpłatny urząd certyfikacji wydający certyfikaty DV. Większość hostingów ma go wbudowanego w panel i odnawia automatycznie. Certyfikaty Let's Encrypt są krótkoterminowe, więc automatyczne odnawianie jest koniecznością, a nie wygodą.

Certyfikat płatny ma sens, gdy:

• potrzebujesz OV lub EV,
• chcesz mieć certyfikat typu wildcard z gwarancją i wsparciem sprzedawcy,
• wymaga tego umowa, przetarg albo dostawca usług płatniczych.

Warto też wiedzieć, że branża stopniowo skraca maksymalny okres ważności wszystkich publicznych certyfikatów. Niezależnie od tego, czy płacisz, ręczna wymiana co kilka lat odchodzi do przeszłości, a automatyzacja staje się standardem.

Jak wdrożyć HTTPS krok po kroku?

1. Zainstaluj certyfikat

W panelu hostingu włącz certyfikat dla domeny głównej i wersji z www. Przy płatnym certyfikacie wygenerujesz żądanie CSR, przejdziesz weryfikację i wgrasz otrzymane pliki. Jeśli dopiero wybierasz serwer, sprawdź, czy darmowy SSL jest w pakiecie. Piszemy o tym w poradniku jak wybrać hosting.

2. Zmień adres strony na https

W WordPressie zmień adres witryny w Ustawienia, Ogólne. Następnie zaktualizuj adresy w bazie danych (linki w treściach, obrazy), najlepiej narzędziem do wyszukiwania i zamiany, które poprawnie obsługuje zserializowane dane. Po zmianie wyczyść cache.

3. Ustaw przekierowanie 301

Każdy adres http:// powinien przekierowywać jednym skokiem 301 na swój odpowiednik https://. Najlepiej robić to na poziomie serwera, np. w pliku .htaccess. Przy okazji ujednolić wersję z www lub bez niego, żeby nie powstawały łańcuchy przekierowań.

4. Usuń mixed content

Otwórz kilka podstron z włączoną konsolą przeglądarki (F12) i szukaj ostrzeżeń o zasobach ładowanych przez http. Najczęstsze źródła to:

• obrazy wstawione w treści przed migracją,
• adresy fontów i skryptów wpisane na sztywno w motywie,
• stare osadzenia filmów, map i widżetów.

5. Zaktualizuj Google Search Console i narzędzia

Dodaj w Search Console usługę domeny albo prefiks z https, prześlij mapę witryny z nowymi adresami i sprawdź, czy Google Analytics oraz piksele reklamowe działają poprawnie. Zmiana protokołu to dobry moment na przegląd techniczny, który opisujemy w poradniku o samodzielnym audycie SEO.

6. Rozważ HSTS

Nagłówek HSTS (Strict-Transport-Security) każe przeglądarce łączyć się z domeną wyłącznie przez HTTPS, nawet gdy użytkownik wpisze http. Zacznij od krótkiego max-age i wydłużaj go, gdy upewnisz się, że wszystko działa. Opcje includeSubDomains i wpis na listę preload włączaj świadomie: obejmą wszystkie subdomeny i trudno je szybko wycofać.

Jakie błędy przy HTTPS zdarzają się najczęściej?

Ostatni punkt dotyczy też linków wewnętrznych. Nawet jeśli przekierowania działają, linki w treści powinny od razu prowadzić na https. To przyspiesza stronę i porządkuje sygnały dla Google.

Jak sprawdzić, czy certyfikat działa poprawnie?

Po wdrożeniu zrób krótki test. Kliknij ikonę obok adresu w przeglądarce i wybierz informacje o połączeniu: zobaczysz, kto wystawił certyfikat, dla jakich domen i do kiedy jest ważny. Następnie wpisz ręcznie cztery warianty adresu: http://domena.pl, http://www.domena.pl, https://domena.pl i https://www.domena.pl. Każdy powinien kończyć się na tej samej, docelowej wersji strony, najlepiej po jednym przekierowaniu.

Do dokładniejszej diagnozy przydają się bezpłatne testery konfiguracji TLS dostępne online. Pokażą, czy serwer nie obsługuje przestarzałych wersji protokołu, czy łańcuch certyfikatów jest kompletny i czy nagłówek HSTS jest ustawiony. Na koniec dodaj przypomnienie w kalendarzu albo monitoring dostępności z kontrolą ważności certyfikatu. Automatyczne odnawianie zwykle działa bez zarzutu, ale zmiana DNS, przeniesienie domeny czy nowy serwer potrafią je po cichu zepsuć.

Czy sam certyfikat wystarczy do bezpieczeństwa strony?

Nie. Certyfikat chroni transmisję danych, ale nie zabezpiecza strony przed włamaniem przez nieaktualną wtyczkę czy słabe hasło. Zielona kłódka oznacza tylko, że połączenie jest szyfrowane, a nie że strona jest wiarygodna. Dlatego HTTPS to punkt wyjścia, a nie cała ochrona. Kolejne kroki opisujemy w poradniku o bezpieczeństwie WordPressa.

Potrzebujesz pomocy z wdrożeniem HTTPS?

Przy tworzeniu stron internetowych konfigurujemy certyfikat, przekierowania i nagłówki bezpieczeństwa od pierwszego dnia. Przeprowadzamy też migracje istniejących stron na HTTPS, dbając o mixed content, Search Console i zachowanie pozycji w Google. Napisz do nas, a sprawdzimy konfigurację Twojej domeny.