Certyfikat SSL: czy musisz za niego płacić i jak go sprawdzić
W skrócie
- Darmowy certyfikat od Let’s Encrypt szyfruje połączenie tak samo jak płatny. Różnica siedzi w tym, co sprawdza wystawca, a nie w sile szyfrowania.
- Chrome od wersji 154 sam włącza tryb „Always Use Secure Connections” i pyta użytkownika o zgodę, zanim otworzy stronę bez HTTPS. Google ogłosił to 28 października 2025.
- Maksymalna ważność certyfikatu to od 15 marca 2026 roku 200 dni, a od 15 marca 2027 będzie to 100 dni. Ręczne odnawianie przestaje mieć sens.
- Płatny certyfikat OV lub EV kupuje się pod wymóg klienta albo przetargu. Nazwy firmy w pasku adresu Chrome nie pokazuje od 2019 roku.
- Najwięcej problemów robi nie sam certyfikat, a wdrożenie: mieszana treść i brak przekierowania z http na https.
Certyfikat SSL to plik na serwerze, dzięki któremu przeglądarka szyfruje połączenie z Twoją stroną i widzi, że domena należy do tego, kto o certyfikat poprosił. Prawie każda mała firma w Polsce dostaje go dziś bezpłatnie razem z hostingiem, w ramach Let’s Encrypt. Płacić ma sens w jednej sytuacji: gdy ktoś konkretny wymaga od Ciebie certyfikatu z weryfikacją firmy.
Co to jest certyfikat SSL i czego on nie potwierdza
Nazwa myli. Protokół SSL wycofano lata temu, połączenie obsługuje dziś TLS, ale „certyfikat SSL” zostało w cennikach hostingów, więc tak to nazywamy. Technicznie kupujesz zaufanie: wystawca podpisuje Twój klucz, a przeglądarka ten podpis uznaje, bo wystawcę ma na swojej liście.
Certyfikat robi dwie rzeczy. Szyfruje to, co leci między przeglądarką a serwerem, czyli hasła, treść formularza kontaktowego i dane karty w sklepie. Potwierdza też, że rozmawiasz z serwerem tej domeny, a nie z kimś, kto podstawił się w sieci po drodze.
Nie robi natomiast rzeczy, które mu się przypisuje. Kłódka nie mówi, że firma jest rzetelna: strony podszywające się pod banki mają kłódkę od lat, bo darmowy certyfikat dostanie każdy, kto ma domenę. Nie chroni też WordPressa przed włamaniem przez dziurawą wtyczkę i nie zastępuje kopii zapasowej. To zamek w drzwiach, nie ochroniarz w środku.
Jeśli zamawiasz nową stronę, certyfikat jest częścią pierwszego dnia pracy, a nie dodatkiem na później. Tak samo działa to u nas, gdy robimy projektowanie stron i sklepów internetowych: HTTPS wchodzi razem z domeną i hostingiem, przed pierwszą linią treści.
Dlaczego to nagle pilne: Chrome pyta o zgodę przed stroną bez HTTPS
Przez lata strona po http dostawała tylko szary napis „Nie jest bezpieczna” w pasku adresu. Mało kto na niego patrzył. To się właśnie zmieniło: Google zapowiedział 28 października 2025 roku, że od Chrome 154 przeglądarka domyślnie włączy wszystkim ustawienie „Always Use Secure Connections”, a przed wejściem na publiczną stronę bez HTTPS poprosi użytkownika o zgodę.
Ciekawy jest sposób, w jaki Google to zrobił. Ostrzeżenie nie pojawi się przy każdym wejściu, bo wtedy ludzie klikaliby je odruchowo. Zobaczy je osoba, która wchodzi na daną stronę pierwszy raz albo bardzo rzadko, czyli dokładnie ten nowy klient z wyszukiwarki, na którym Ci zależy.
90 dni tyle jest ważny domyślny certyfikat Let’s Encrypt
200 dni maksymalna ważność certyfikatu od 15 marca 2026
100 dni maksymalna ważność od 15 marca 2027
Druga zmiana dotyczy terminów. CA/Browser Forum, czyli gremium, w którym siedzą przeglądarki i urzędy certyfikacji, przyjęło w kwietniu 2025 roku harmonogram skracania ważności certyfikatów: 200 dni od 15 marca 2026, 100 dni od 15 marca 2027 i 47 dni od 15 marca 2029. Kierunek jest jasny. Odnawianie ręczne raz do roku przestanie być możliwe, zostanie automat.
Przykład
Warsztat samochodowy ma około 1 200 wejść na stronę w miesiącu, z czego 300 to pierwsze wizyty z wyszukiwarki. Strona chodzi po http, więc część z nich zamiast cennika zobaczy pytanie, czy naprawdę chce tu wejść. Przy założeniu, że cofa się jedna na pięć, tracisz 60 wizyt w miesiącu, a przy 4 procentach zapytań telefonicznych to dwa zlecenia. Przestawienie takiej strony na HTTPS to robota na jedno popołudnie. To przykład wyliczenia, nie dane z pomiaru.
Darmowy Let’s Encrypt a płatne OV i EV: za co się płaci
Wszystkie certyfikaty dla stron dzielą się na trzy poziomy weryfikacji. DV sprawdza, czy panujesz nad domeną. OV sprawdza dodatkowo, czy firma istnieje w rejestrach. EV to ta sama weryfikacja w rozszerzonej, dłuższej procedurze. Szyfrowanie w każdym z nich jest identyczne.
| Rodzaj | Co sprawdza wystawca | Koszt | Kiedy go brać |
|---|---|---|---|
| DV darmowy (Let’s Encrypt) | Kontrolę nad domeną | 0 zł, odnawianie automatyczne | Strona firmowa, blog, większość sklepów |
| DV płatny | To samo co darmowy, plus wsparcie i gwarancja wystawcy | Opłata roczna | Hosting bez obsługi automatycznego odnawiania |
| OV | Dane firmy w rejestrach | Opłata roczna i dokumenty | Wymóg w przetargu lub u klienta korporacyjnego |
| EV | Firmę w rozszerzonej procedurze | Najdroższy, procedura trwa najdłużej | Bank, instytucja finansowa, wymóg regulatora |
Kiedy płatny certyfikat naprawdę ma sens
Zostały trzy sytuacje. Pierwsza: Twój klient albo zamawiający w przetargu wpisał do wymagań certyfikat z weryfikacją organizacji i nie ma z kim dyskutować. Druga: hosting jest tak stary, że nie umie automatycznego odnawiania, a Ty nie chcesz go zmieniać. Trzecia: potrzebujesz wildcard na dziesiątki subdomen z weryfikacją firmy.
Argument „bo klient zobaczy nazwę mojej firmy w pasku” odpadł w 2019 roku, kiedy Chrome 77 przeniósł tę nazwę z paska adresu do okienka pod kłódką. Praktycznie nikt tam nie zagląda. Jeśli dopiero planujesz sklep na WooCommerce, darmowy DV obsłuży bramkę płatniczą dokładnie tak samo jak certyfikat z roczną opłatą.
Jak sprawdzić, czy certyfikat działa, w pięć minut
Nie potrzebujesz do tego programisty ani żadnego narzędzia poza przeglądarką. Przejdź te kroki po kolei, najlepiej na własnej stronie głównej i na jednej podstronie z formularzem.
- Kliknij kłódkę w pasku adresu. Zobaczysz, dla jakiej domeny wystawiono certyfikat, kto go wystawił i do kiedy jest ważny. Jeśli zamiast kłódki widzisz napis o braku bezpieczeństwa, strony nie ma po HTTPS albo certyfikat wygasł.
- Wpisz swój adres ręcznie z przedrostkiem http. Powinien sam przeskoczyć na https. Jeśli zostaje po staremu, brakuje przekierowania na serwerze, a Google i Chrome traktują te adresy jak dwie różne strony.
- Powtórz to z www i bez www. Certyfikat musi obejmować obie wersje, a obie mają prowadzić do jednej. To najczęstsza wpadka po przenosinach domeny.
- Poszukaj mieszanej treści. Wejdź na podstronę z galerią, mapą i formularzem. Jeśli kłódka tam znika albo dostaje ostrzeżenie, część plików ciągnie się jeszcze po http.
- Sprawdź stronę na telefonie w trybie incognito. Twoja przeglądarka ma zapamiętane stare przekierowania i pokazuje Ci wersję lepszą niż ta, którą dostaje nowy klient.
Trzy błędy po wdrożeniu HTTPS, które widzimy najczęściej
Mieszana treść
Strona chodzi po https, ale w treści zostały linki do zdjęć, czcionek albo skryptów z adresem http. Przeglądarka blokuje wtedy część elementów i zdejmuje kłódkę. Winne są zwykle stare wpisy na blogu, slider na stronie głównej i wklejony kod zewnętrznego kalendarza rezerwacji.
Brak przekierowania z http na https
Certyfikat jest, nowa wersja działa, a stara dalej odpowiada po http. Masz wtedy dwie kopie serwisu, a linki, które zebrałeś przez lata, rozkładają się między nie. Potrzebujesz jednego przekierowania stałego na poziomie serwera, nie wtyczki, która robi to w PHP.
Stare adresy w środku strony
Po przejściu na HTTPS zostają w bazie linki wewnętrzne po http, adresy kanoniczne po http i mapa strony z tymi adresami. W Google Search Console trzeba też dodać właściwość dla wersji https, bo stara pokaże Ci wkrótce spadek do zera. Przy okazji warto puścić test szybkości strony, żeby sprawdzić, czy łańcuch przekierowań nie dokłada pół sekundy do każdego wejścia.
Uwaga
Let’s Encrypt zakończył 4 czerwca 2025 roku wysyłkę maili o wygasających certyfikatach. Jeśli Twój sposób pilnowania terminu brzmiał „przyjdzie powiadomienie”, to od tej daty nie masz żadnego sposobu. Zostaje automatyczne odnawianie po stronie hostingu i własne przypomnienie w kalendarzu.
Kto pilnuje odnawiania i ile to kosztuje
W typowym układzie certyfikat odnawia hosting, bez Twojego udziału, co kilkadziesiąt dni. Problem pojawia się wtedy, gdy ktoś ruszy konfigurację: zmiana serwerów DNS, przeniesienie strony na inny serwer albo własny VPS bez klienta ACME. Wtedy automat cicho przestaje działać i dowiadujesz się o tym od klienta, który zobaczył czerwony ekran.
Jeśli nie chcesz tego trzymać w głowie, zostaje opieka nad stroną, u nas od 400 zł miesięcznie, w której monitoring certyfikatu i przekierowań jest częścią umowy. Gdy strona jest stara i przestawienie jej na HTTPS wymaga grzebania w szablonie, policz to razem z innymi poprawkami: pokazujemy widełki we wpisie o tym, ile kosztuje modernizacja strony. A jeśli startujesz od zera, certyfikat jest jednym z punktów listy w poradniku jak zrobić stronę internetową dla firmy.
Jeśli nie masz pewności, czy Twoja strona jest przestawiona na HTTPS do końca, zamów bezpłatny audyt strony: sprawdzimy certyfikat, przekierowania i mieszaną treść. Możesz też zadzwonić pod 511 608 362 od poniedziałku do piątku między 10 a 18.
Najczęściej zadawane pytania
Czy darmowy certyfikat SSL jest bezpieczny?
Tak. Szyfrowanie w certyfikacie od Let’s Encrypt jest takie samo jak w płatnym, a przeglądarki traktują oba identycznie. Płacisz za weryfikację firmy i wsparcie wystawcy, nie za mocniejsze szyfrowanie.
Ile kosztuje certyfikat u małej firmy?
Przy standardowym hostingu zero złotych, bo Let’s Encrypt jest wbudowany w panel. Koszt pojawia się tylko wtedy, gdy ktoś wymaga od Ciebie certyfikatu OV lub EV, albo gdy wdrożenie na starej stronie wymaga pracy programisty.
Co zrobić, gdy przeglądarka pokazuje „Połączenie nie jest prywatne”?
Najpierw sprawdź datę ważności pod kłódką. Wygasły certyfikat to zwykle zepsuty automat odnawiania i hosting przywraca go w kilka minut. Jeśli data jest w porządku, zwykle nie zgadza się domena, na przykład certyfikat wystawiono bez wersji z www.
Czy przejście na HTTPS zaszkodzi pozycjom w Google?
Poprawnie zrobione nie szkodzi, bo stałe przekierowania przenoszą wartość starych adresów na nowe. Spadki po migracji biorą się z brakujących przekierowań i starych adresów kanonicznych, a nie z samego HTTPS. Pierwszy tydzień po zmianie obserwuj raport indeksowania w Search Console.
Czy formularz kontaktowy bez HTTPS to problem z ochroną danych?
Zbierając przez formularz imię, telefon czy adres, przesyłasz dane osobowe, a RODO wymaga adekwatnych środków technicznych ochrony. Transmisja po http jest nieszyfrowana, więc trudno ją obronić jako taki środek. To informacja, nie porada prawna: przy wątpliwościach sprawdź to z prawnikiem albo inspektorem ochrony danych.
